AWS SSO/AWS Opensearch SAML 集成

Question

我有一個 AWS OpenSearch 的實現，我可以使用主密碼/用戶組合訪問它。

我們的 AWS 實施使用 AWS SSO 通過控制台訪問帳戶。 我在 AWS SSO 中配置了自定義 SAML 2.0 應用程序並在 OpenSearch 中啟用了 SAML。

• 服務提供商實體 ID (OS) 已復制並映射到應用程序 ACS URL (AWS SSO)
• IdP 發起的 SSO URL (OS) 復制並映射到應用程序 SAML 受眾 (SSO)
• AWS SSO SAML 元數據文件已下載 (SSO) 並作為 IdP 元數據 (OS) 導入。

屬性映射如下

我已將自己指定為用戶 (SSO)，並使用相同的 email 作為 SAML 主用戶名 (OS)。

當我在 AWS 中單擊自定義 web 應用程序圖標時出現以下錯誤

{"statusCode":500,"error":"Internal Server Error","message":"Internal Error"}

此設置中有什么配置不正確？

Answer 1

正確的配置是：

應用程序 ACS URL：IdP 發起的 SSO URL[1] 或 SP 發起的 SSO URL[2]

應用程序 SAML 受眾：服務提供商實體 ID

使用 [1] 您將需要訪問 SSO 的用戶門戶，OpenSearch 應用程序將在那里。 使用 [2] 您可以直接訪問儀表板 URL。

此外，您可能會發現 map 對 OpenSearch 角色（與單個用戶相對）的 SSO 組很有用。 為此，請在 SSO 應用程序上添加一個新的屬性映射。

"User attribute in the application" -> Groups
"Maps to this string value or user attribute in AWS SSO" -> "${user:groups}"

然后您需要編輯您的 OpenSearch SAML 配置並添加：在“Roles key - optional”中將 SAML 的屬性指定為“Groups”

之后，復制組的 ID，登錄到您的 opensearch 儀表板（使用主用戶）並將此 ID map 作為“后端角色”的角色。

Answer 2

我有同樣的問題，我發現我的 AD 元數據是錯誤的。 確認您使用了良好的元數據 xml 文件