View a markdown version of this page

Referenz zur Konfiguration der Netzwerkzugriffskontrolle für OpenSearch UI-Anwendungen - OpenSearch Amazon-Dienst
Beschränken Sie einen Prinzipal auf einen VPC-EndpunktBeschränken Sie einen Prinzipal auf einen IP-BereichVerwenden Sie eine VPC-EndpunktrichtlinieErzwingen Sie unternehmensweit einen VPC-EndpunktErzwingen Sie eine VPC unternehmensweitErzwingen Sie unternehmensweit einen IP-Bereich

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Referenz zur Konfiguration der Netzwerkzugriffskontrolle für OpenSearch UI-Anwendungen

Die folgenden Abschnitte enthalten Richtlinienbeispiele für jede Netzwerkzugriffskontrolle, die von der Benutzeroberfläche unterstützt wird. OpenSearch Jedes Beispiel enthält die AWS Command Line Interface (AWS CLI) -Befehle, um es anzuwenden. Eine Erläuterung, wie OpenSearch UI diese Richtlinien bewertet, und eine schrittweise Anleitung zu den häufigsten Aufgaben finden Sie unter. Beschränkung des Netzwerkzugriffs auf OpenSearch UI-Anwendungen

Wählen Sie ein Beispiel aus, das auf dem zu schützenden Bereich und dem Netzwerkpfad basiert, über den Ihre Benutzer eine Verbindung herstellen:

Scope Steuerung Blockiert die Anmeldeseite
Ein einziger Schulleiter Identity-based Politik Nein
Ein einzelner VPC-Endpunkt VPC-Endpunktrichtlinie Nein
Jedes Konto in einer Organisation Richtlinie zur Ressourcenkontrolle (RCP) Ja
Anmerkung

Nur eine Ressourcenkontrollrichtlinie, die opensearch:ViewLoginPage verhindert, dass Benutzer außerhalb des Netzwerks gesperrt werden, bevor sie sich authentifizieren. Identity-based und VPC-Endpunktrichtlinien gelten, nachdem sich ein Benutzer angemeldet hat.

Beschränkung eines Prinzipals auf einen VPC-Endpunkt

Die folgende identitätsbasierte Richtlinie verweigert einem Benutzer oder einer Rolle den Zugriff auf OpenSearch Benutzeroberflächenanwendungen, sofern die Anforderung nicht über den angegebenen VPC-Schnittstellen-Endpunkt eingeht. Hängen Sie sie an den IAM-Prinzipal an, der auf die Anwendung zugreift. Ersetzen Sie die placeholder value durch Ihre eigene VPC-Endpunkt-ID.

Um einen Prinzipal auf einen VPC-Endpunkt zu beschränken

  1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namenpolicy.json.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOpenSearchUIAccessOutsideVpce",
            "Effect": "Deny",
            "Action": "opensearch:ApplicationAccessAll",
            "Resource": "arn:aws:opensearch:*:*:application/*",
            "Condition": {
                "StringNotEqualsIfExists": {
                    "aws:SourceVpce": "vpc-endpoint-id"
                }
            }
        }
    ]
}

  2. Erstellen Sie die IAM-Richtlinie.

    aws iam create-policy \
  --policy-name DenyOpenSearchUIOutsideVpce \
  --description "Denies OpenSearch UI access outside the approved VPC endpoint" \
  --policy-document file://policy.json

    Die Antwort enthält den Richtlinien-ARN. Notieren Sie sich diesen Wert für den nächsten Schritt.

  3. Hängen Sie die Richtlinie an die IAM-Rolle oder den IAM-Benutzer an, der auf die Anwendung zugreift.

    aws iam attach-role-policy \
  --role-name OpenSearchUIUserRole \
  --policy-arn arn:aws:iam::111122223333:policy/DenyOpenSearchUIOutsideVpce

Nachdem die Richtlinie in Kraft getreten ist, erhält der Prinzipal eine 403 forbidden Antwort, wenn er von außerhalb des genehmigten VPC-Endpunkts auf die Anwendung zugreift. Der Zugriff über den Endpunkt funktioniert normal.

Beschränkung eines Prinzipals auf einen IP-Adressbereich

Die folgende identitätsbasierte Richtlinie verweigert den Zugriff, sofern die Anfrage nicht aus einem genehmigten IP-Adressbereich stammt, z. B. aus dem öffentlichen Ausgangsbereich Ihres Unternehmensnetzwerks. Ersetzen Sie den placeholder values durch Ihre eigenen IP-Adressbereiche in CIDR-Notation.

Um einen Prinzipal auf einen IP-Adressbereich zu beschränken

  1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namenpolicy.json.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOpenSearchUIAccessOutsideCorpNetwork",
            "Effect": "Deny",
            "Action": "opensearch:ApplicationAccessAll",
            "Resource": "arn:aws:opensearch:*:*:application/*",
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [
                        "203.0.113.0/24",
                        "198.51.100.0/24"
                    ]
                }
            }
        }
    ]
}

  2. Erstellen Sie die IAM-Richtlinie.

    aws iam create-policy \
  --policy-name DenyOpenSearchUIExternalAccess \
  --description "Denies OpenSearch UI access from outside corporate IP ranges" \
  --policy-document file://policy.json

  3. Hängen Sie die Richtlinie an die IAM-Rolle oder den IAM-Benutzer an, der auf die Anwendung zugreift.

    aws iam attach-role-policy \
  --role-name OpenSearchUIUserRole \
  --policy-arn arn:aws:iam::111122223333:policy/DenyOpenSearchUIExternalAccess
Anmerkung

Wenn eine Anforderung über einen VPC-Endpunkt eingeht, aws:SourceIp ist sie nicht vorhanden. Wenn Sie sowohl private (VPC-Endpunkt) als auch öffentliche (IP-restricted) Zugriffspfade verwenden, berücksichtigen Sie beide Bedingungsschlüssel in Ihrer Richtlinie, damit Sie nicht versehentlich legitimen VPC-Endpunktdatenverkehr verweigern.

Beschränkung des Zugriffs mit einer VPC-Endpunktrichtlinie

Eine identitätsbasierte Richtlinie regelt einen bestimmten Prinzipal. Um zu steuern, welche Anwendungen Benutzer über einen VPC-Endpunkt erreichen können, unabhängig davon, welcher Prinzipal eine Verbindung herstellt, fügen Sie dem Schnittstellen-VPC-Endpunkt selbst eine Richtlinie hinzu. Die folgende Endpunktrichtlinie erlaubt nur den Zugriff auf eine bestimmte Anwendung. Ersetzen Sie die placeholder values durch Ihre eigene AWS Region, Konto-ID und Anwendungs-ID.

Um den Zugriff mit einer VPC-Endpunktrichtlinie einzuschränken

  1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namenpolicy.json.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOpenSearchUIApplication",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "opensearch:ApplicationAccessAll",
            "Resource": "arn:aws:opensearch:region:account-id:application/application-id"
        }
    ]
}

  2. Wenden Sie die Richtlinie auf den VPC-Endpunkt der Schnittstelle an.

    aws ec2 modify-vpc-endpoint \
  --vpc-endpoint-id vpce-1a2b3c4d5e6f7g8h9 \
  --policy-document file://policy.json

Weitere Informationen zu VPC-Endpunktrichtlinien für die OpenSearch Benutzeroberfläche finden Sie unter. Verwaltung des Zugriffs auf die OpenSearch Benutzeroberfläche von einem VPC-Endpunkt aus

Durchsetzung des VPC-Endpunktzugriffs in einer Organisation

Eine identitätsbasierte Richtlinie schränkt einen bestimmten Prinzipal ein, und eine VPC-Endpunktrichtlinie schränkt einen bestimmten Endpunkt ein. Um den Netzwerkzugriff für alle Konten in Ihrer Organisation einheitlich durchzusetzen und Benutzer außerhalb des Netzwerks vor der Authentifizierung zu sperren, fügen Sie Ihrer Organisation eine Resource Control Policy (RCP) hinzu. AWS

Die folgende Ressourcenkontrollrichtlinie verweigert jeglichen Zugriff auf OpenSearch Benutzeroberflächenanwendungen in der Organisation, sofern die Anforderung nicht über den angegebenen VPC-Endpunkt eingeht. Sie verweigert sowohl die Anmeldeseite vor der Authentifizierung () als auch den authentifizierten opensearch:ViewLoginPage Zugriff (). opensearch:ApplicationAccessAll Benutzer außerhalb des zugelassenen Netzwerks können weder die Anmeldeseite laden noch auf die Anwendung zugreifen. Ersetzen Sie die placeholder value durch Ihre eigene VPC-Endpunkt-ID.

Um den VPC-Endpunktzugriff in einer Organisation durchzusetzen

  1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namenpolicy.json.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOpenSearchUIAccessOutsideVpce",
            "Effect": "Deny",
            "Principal": "*",
            "Action": [
                "opensearch:ViewLoginPage",
                "opensearch:ApplicationAccessAll"
            ],
            "Resource": "arn:aws:opensearch:*:*:application/*",
            "Condition": {
                "StringNotEqualsIfExists": {
                    "aws:SourceVpce": "vpc-endpoint-id"
                }
            }
        }
    ]
}

  2. Erstellen Sie die Ressourcenkontrollrichtlinie. Führen Sie diesen Befehl vom Verwaltungskonto Ihrer Organisation oder von einem delegierten Administratorkonto aus.

    aws organizations create-policy \
  --name DenyOpenSearchUIOutsideVpce \
  --description "Denies OpenSearch UI access outside the approved VPC endpoint" \
  --type RESOURCE_CONTROL_POLICY \
  --content file://policy.json

  3. Hängen Sie die Richtlinie dem Stammverzeichnis der Organisation, einer Organisationseinheit oder einem Konto an, je nachdem, welchen Bereich Sie schützen möchten.

    aws organizations attach-policy \
  --policy-id p-example12345 \
  --target-id 111122223333

    Weitere Informationen finden Sie unter Anhängen und Trennen von Ressourcensteuerungsrichtlinien im Benutzerhandbuch für AWS Organisationen.

Nach Inkrafttreten der Richtlinie kann ein Benutzer außerhalb des genehmigten VPC-Endpunkts nicht mehr auf die Anwendung zugreifen. Je nach Authentifizierungstyp der Anwendung und der angeforderten URL erhält der Benutzer entweder eine 403 forbidden Antwort statt der Anmeldeseite oder er wird zur Anmeldung weitergeleitet und ihm wird dann der Zugriff auf die Anwendung verweigert. Wenn Sie eine Verbindung über den VPC-Endpunkt herstellen, gelangen Sie zur Anmeldeseite und melden sich normal an.

Anmerkung

Es kann bis zu einer Minute dauern, bis Änderungen an einer Ressourcenkontrollrichtlinie wirksam werden. Wenn Sie unmittelbar nach dem Erstellen, Aktualisieren oder Anhängen einer Richtlinie testen, können Sie immer noch das vorherige Verhalten beobachten.

Durchsetzung des VPC-Zugriffs im gesamten Unternehmen

Um jeden Schnittstellen-VPC-Endpunkt in einer VPC zu genehmigen, anstatt einen Endpunkt zu benennen, verwenden Sie. aws:SourceVpc Die folgende Ressourcenkontrollrichtlinie verweigert den Zugriff in der gesamten Organisation, sofern die Anfrage nicht über die angegebene VPC eingeht. Ersetzen Sie die placeholder value durch Ihre eigene VPC-ID.

Um den VPC-Zugriff in einer Organisation durchzusetzen

  1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namenpolicy.json.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOpenSearchUIAccessOutsideVpc",
            "Effect": "Deny",
            "Principal": "*",
            "Action": [
                "opensearch:ViewLoginPage",
                "opensearch:ApplicationAccessAll"
            ],
            "Resource": "arn:aws:opensearch:*:*:application/*",
            "Condition": {
                "StringNotEqualsIfExists": {
                    "aws:SourceVpc": "vpc-id"
                }
            }
        }
    ]
}

  2. Erstellen Sie die Ressourcensteuerungsrichtlinie und hängen Sie sie an.

    aws organizations create-policy \
  --name DenyOpenSearchUIOutsideVpc \
  --description "Denies OpenSearch UI access outside the approved VPC" \
  --type RESOURCE_CONTROL_POLICY \
  --content file://policy.json

aws organizations attach-policy \
  --policy-id p-example12345 \
  --target-id 111122223333

Durchsetzen des Zugriffs auf den IP-Adressbereich in der gesamten Organisation

Die folgende Ressourcenkontrollrichtlinie verweigert den Zugriff im gesamten Unternehmen, es sei denn, die Anfrage stammt aus einem genehmigten IP-Adressbereich, z. B. aus dem öffentlichen Ausgangsbereich Ihres Unternehmensnetzwerks. Ersetzen Sie den placeholder values durch Ihre eigenen IP-Adressbereiche in CIDR-Notation.

Um den Zugriff auf den IP-Adressbereich in einer Organisation durchzusetzen

  1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namenpolicy.json.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOpenSearchUIAccessOutsideCorpNetwork",
            "Effect": "Deny",
            "Principal": "*",
            "Action": [
                "opensearch:ViewLoginPage",
                "opensearch:ApplicationAccessAll"
            ],
            "Resource": "arn:aws:opensearch:*:*:application/*",
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [
                        "203.0.113.0/24",
                        "198.51.100.0/24"
                    ]
                }
            }
        }
    ]
}

  2. Erstellen Sie die Ressourcensteuerungsrichtlinie und hängen Sie sie an.

    aws organizations create-policy \
  --name DenyOpenSearchUIExternalAccess \
  --description "Denies OpenSearch UI access from outside corporate IP ranges" \
  --type RESOURCE_CONTROL_POLICY \
  --content file://policy.json

aws organizations attach-policy \
  --policy-id p-example12345 \
  --target-id 111122223333
Anmerkung

Wie beim Beispiel für eine identitätsbasierte IP aws:SourceIp ist sie bei Anfragen, die über einen VPC-Endpunkt eingehen, nicht vorhanden. Wenn Sie sowohl private als auch öffentliche Zugriffspfade verwenden, berücksichtigen Sie beide Bedingungsschlüssel, damit Sie nicht versehentlich legitimen VPC-Endpunktverkehr verweigern.