Como faço para usar a autenticação HTTP com controle de acesso refinado para acessar o OpenSearch Dashboards de fora de uma VPC?

Breve descrição

Por padrão, o OpenSearch Dashboards restringe o acesso à VPC onde ele está localizado. Quando você acessa o OpenSearch Dashboards de um computador local que não está conectado à VPC ou sem um proxy de conexão, recebe um erro de tempo limite.

Para acessar o OpenSearch Dashboards com autenticação básica HTTP de fora de uma VPC, use um dos seguintes métodos:

• Use a AWS Site-to-Site VPN para estabelecer uma conexão segura entre redes.
• Use a AWS Client VPN para estabelecer uma conexão segura para usuários individuais.
• Use um túnel SSH para estabelecer uma conexão segura por meio de um jump server.
• Use um proxy NGINX para usar um servidor web como intermediário.

Resolução

Observação: se você receber erros ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI. A resolução a seguir não funciona para OpenSearch Dashboards que usam a autenticação do Amazon Cognito.

Para usar controle de acesso refinado com autenticação básica HTTP, o domínio deve ter uma política de acesso de domínio aberto que permita acesso anônimo.

Exemplo de política:

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":[
               "*"
            ]
         },
         "Action":[
            "es:ESHttp*"
         ],
         "Resource":"arn:aws:es:region:123456789:domain/test-domain/*"
      }
   ]
}

Observação: substitua region pela sua região da AWS, 123456789 pelo ID da sua conta da AWS e test-domain pelo seu nome de domínio.

Além disso, você deve configurar o tipo de usuário principal como Banco de dados de usuário interno. É possível usar o console do OpenSearch Service ou a AWS CLI para definir essa configuração.

Use a AWS Site-to-Site VPN

Uma Site-to-Site VPN cria uma conexão criptografada segura entre sua rede on-premises e a Amazon Virtual Private Cloud (Amazon VPC). Ao configurar uma Site-to-Site VPN, é possível acessar diretamente a URL do OpenSearch Dashboards. Para encontrar a URL do OpenSearch Dashboards, conclua as seguintes etapas:

1. Abra o console do OpenSearch Service.
2. Selecione Domínios e, em seguida, selecione seu domínio.
3. Clique na guia Informações gerais.
4. Selecione a URL do OpenSearch Dashboards.

Use a AWS Client VPN

Use a Client VPN para acessar com segurança seus recursos e recursos da AWS em sua rede on-premises a partir de qualquer local. Para acessar o OpenSearch Dashboards, conecte-se à VPN e abra a URL do OpenSearch Dashboards.

Observação: a Client VPN permite que usuários individuais acessem o OpenSearch Dashboards sem uma conexão entre sites.

Use um túnel SSH

Um túnel SSH estabelece uma conexão segura e criptografada pelo protocolo SSH, normalmente a porta 22. É possível usar o túnel SSH para acessar recursos dentro de uma VPC privada a partir da sua máquina local.

Para usar um túnel SSH para acessar seus recursos, configure os seguintes recursos:

• Uma instância do Amazon Elastic Compute Cloud (Amazon EC2) na mesma VPC do seu domínio do OpenSearch Service
• Encaminhamento de porta SSH em sua máquina local.

Para obter instruções detalhadas de configuração, consulte Teste dos domínios da VPC.

Use um proxy NGINX

Use o servidor web NGINX, um servidor intermediário, para encaminhar solicitações da internet pública para seu domínio do OpenSearch dentro de uma VPC. Para configurar o proxy NGINX, consulte How do I use an NGINX proxy to access Kibana or OpenSearch Dashboards outside of a VPC that doesn't use Amazon Cognito authentication? (Como uso um proxy NGINX para acessar o Kibana ou o OpenSearch Dashboards fora de uma VPC que não usa a autenticação do Amazon Cognito?)

Depois de configurar o proxy NGINX, também é possível executar comandos curl e outras APIs REST no cluster do OpenSearch Service a partir da sua máquina local.

Informações relacionadas

Como soluciono erros de controle de acesso refinado no meu cluster do Amazon OpenSearch Service?