Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Referenz zur Konfiguration der Netzwerkzugriffskontrolle für OpenSearch UI-Anwendungen Die folgenden Abschnitte enthalten Richtlinienbeispiele für jede Netzwerkzugriffskontrolle, die von der Benutzeroberfläche unterstützt wird. OpenSearch Jedes Beispiel enthält die AWS Command Line Interface (AWS CLI) -Befehle, um es anzuwenden. Eine Erläuterung, wie OpenSearch UI diese Richtlinien bewertet, und eine schrittweise Anleitung zu den häufigsten Aufgaben finden Sie unter. [Beschränkung des Netzwerkzugriffs auf OpenSearch UI-Anwendungen](application-network-access.md) Wählen Sie ein Beispiel aus, das auf dem zu schützenden Bereich und dem Netzwerkpfad basiert, über den Ihre Benutzer eine Verbindung herstellen: | Scope | Steuerung | Blockiert die Anmeldeseite | | --- | --- | --- | | Ein einziger Schulleiter | Identity-based Politik | Nein | | Ein einzelner VPC-Endpunkt | VPC-Endpunktrichtlinie | Nein | | Jedes Konto in einer Organisation | Richtlinie zur Ressourcenkontrolle (RCP) | Ja | **Anmerkung** Nur eine Ressourcenkontrollrichtlinie, die `opensearch:ViewLoginPage` verhindert, dass Benutzer außerhalb des Netzwerks gesperrt werden, bevor sie sich authentifizieren. Identity-based und VPC-Endpunktrichtlinien gelten, nachdem sich ein Benutzer angemeldet hat. **Topics** + [Beschränkung eines Prinzipals auf einen VPC-Endpunkt](#application-network-access-identity-vpce) + [Beschränkung eines Prinzipals auf einen IP-Adressbereich](#application-network-access-identity-ip) + [Beschränkung des Zugriffs mit einer VPC-Endpunktrichtlinie](#application-network-access-endpoint-policy) + [Durchsetzung des VPC-Endpunktzugriffs in einer Organisation](#application-network-access-rcp-vpce) + [Durchsetzung des VPC-Zugriffs im gesamten Unternehmen](#application-network-access-rcp-vpc) + [Durchsetzen des Zugriffs auf den IP-Adressbereich in der gesamten Organisation](#application-network-access-rcp-ip) ## Beschränkung eines Prinzipals auf einen VPC-Endpunkt Die folgende identitätsbasierte Richtlinie verweigert einem Benutzer oder einer Rolle den Zugriff auf OpenSearch Benutzeroberflächenanwendungen, sofern die Anforderung nicht über den angegebenen VPC-Schnittstellen-Endpunkt eingeht. Hängen Sie sie an den IAM-Prinzipal an, der auf die Anwendung zugreift. Ersetzen Sie die {{placeholder value}} durch Ihre eigene VPC-Endpunkt-ID. **Um einen Prinzipal auf einen VPC-Endpunkt zu beschränken** 1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namen`policy.json`. ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "DenyOpenSearchUIAccessOutsideVpce", "Effect": "Deny", "Action": "opensearch:ApplicationAccessAll", "Resource": "arn:aws:opensearch:*:*:application/*", "Condition": { "StringNotEqualsIfExists": { "aws:SourceVpce": "{{vpc-endpoint-id}}" } } } ] } ``` 1. Erstellen Sie die IAM-Richtlinie. ``` aws iam create-policy \ --policy-name {{DenyOpenSearchUIOutsideVpce}} \ --description "{{Denies OpenSearch UI access outside the approved VPC endpoint}}" \ --policy-document file://policy.json ``` Die Antwort enthält den Richtlinien-ARN. Notieren Sie sich diesen Wert für den nächsten Schritt. 1. Hängen Sie die Richtlinie an die IAM-Rolle oder den IAM-Benutzer an, der auf die Anwendung zugreift. ``` aws iam attach-role-policy \ --role-name {{OpenSearchUIUserRole}} \ --policy-arn {{arn:aws:iam::111122223333:policy/DenyOpenSearchUIOutsideVpce}} ``` Nachdem die Richtlinie in Kraft getreten ist, erhält der Prinzipal eine `403 forbidden` Antwort, wenn er von außerhalb des genehmigten VPC-Endpunkts auf die Anwendung zugreift. Der Zugriff über den Endpunkt funktioniert normal. ## Beschränkung eines Prinzipals auf einen IP-Adressbereich Die folgende identitätsbasierte Richtlinie verweigert den Zugriff, sofern die Anfrage nicht aus einem genehmigten IP-Adressbereich stammt, z. B. aus dem öffentlichen Ausgangsbereich Ihres Unternehmensnetzwerks. Ersetzen Sie den {{placeholder values}} durch Ihre eigenen IP-Adressbereiche in CIDR-Notation. **Um einen Prinzipal auf einen IP-Adressbereich zu beschränken** 1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namen`policy.json`. ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "DenyOpenSearchUIAccessOutsideCorpNetwork", "Effect": "Deny", "Action": "opensearch:ApplicationAccessAll", "Resource": "arn:aws:opensearch:*:*:application/*", "Condition": { "NotIpAddress": { "aws:SourceIp": [ "{{203.0.113.0/24}}", "{{198.51.100.0/24}}" ] } } } ] } ``` 1. Erstellen Sie die IAM-Richtlinie. ``` aws iam create-policy \ --policy-name {{DenyOpenSearchUIExternalAccess}} \ --description "{{Denies OpenSearch UI access from outside corporate IP ranges}}" \ --policy-document file://policy.json ``` 1. Hängen Sie die Richtlinie an die IAM-Rolle oder den IAM-Benutzer an, der auf die Anwendung zugreift. ``` aws iam attach-role-policy \ --role-name {{OpenSearchUIUserRole}} \ --policy-arn {{arn:aws:iam::111122223333:policy/DenyOpenSearchUIExternalAccess}} ``` **Anmerkung** Wenn eine Anforderung über einen VPC-Endpunkt eingeht, `aws:SourceIp` ist sie nicht vorhanden. Wenn Sie sowohl private (VPC-Endpunkt) als auch öffentliche (IP-restricted) Zugriffspfade verwenden, berücksichtigen Sie beide Bedingungsschlüssel in Ihrer Richtlinie, damit Sie nicht versehentlich legitimen VPC-Endpunktdatenverkehr verweigern. ## Beschränkung des Zugriffs mit einer VPC-Endpunktrichtlinie Eine identitätsbasierte Richtlinie regelt einen bestimmten Prinzipal. Um zu steuern, welche Anwendungen Benutzer * über * einen VPC-Endpunkt erreichen können, unabhängig davon, welcher Prinzipal eine Verbindung herstellt, fügen Sie dem Schnittstellen-VPC-Endpunkt selbst eine Richtlinie hinzu. Die folgende Endpunktrichtlinie erlaubt nur den Zugriff auf eine bestimmte Anwendung. Ersetzen Sie die {{placeholder values}} durch Ihre eigene AWS Region, Konto-ID und Anwendungs-ID. **Um den Zugriff mit einer VPC-Endpunktrichtlinie einzuschränken** 1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namen`policy.json`. ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "AllowOpenSearchUIApplication", "Effect": "Allow", "Principal": "*", "Action": "opensearch:ApplicationAccessAll", "Resource": "arn:aws:opensearch:{{region}}:{{account-id}}:application/{{application-id}}" } ] } ``` 1. Wenden Sie die Richtlinie auf den VPC-Endpunkt der Schnittstelle an. ``` aws ec2 modify-vpc-endpoint \ --vpc-endpoint-id {{vpce-1a2b3c4d5e6f7g8h9}} \ --policy-document file://policy.json ``` Weitere Informationen zu VPC-Endpunktrichtlinien für die OpenSearch Benutzeroberfläche finden Sie unter. [Verwaltung des Zugriffs auf die OpenSearch Benutzeroberfläche von einem VPC-Endpunkt aus](application-access-ui-from-vpc-endpoint.md) ## Durchsetzung des VPC-Endpunktzugriffs in einer Organisation Eine identitätsbasierte Richtlinie schränkt einen bestimmten Prinzipal ein, und eine VPC-Endpunktrichtlinie schränkt einen bestimmten Endpunkt ein. Um den Netzwerkzugriff für alle Konten in Ihrer Organisation einheitlich durchzusetzen und Benutzer außerhalb des Netzwerks * vor der Authentifizierung zu sperren, fügen * Sie Ihrer Organisation eine Resource Control Policy (RCP) hinzu. AWS Die folgende Ressourcenkontrollrichtlinie verweigert jeglichen Zugriff auf OpenSearch Benutzeroberflächenanwendungen in der Organisation, sofern die Anforderung nicht über den angegebenen VPC-Endpunkt eingeht. Sie verweigert sowohl die Anmeldeseite vor der Authentifizierung () als auch den authentifizierten `opensearch:ViewLoginPage` Zugriff (). `opensearch:ApplicationAccessAll` Benutzer außerhalb des zugelassenen Netzwerks können weder die Anmeldeseite laden noch auf die Anwendung zugreifen. Ersetzen Sie die {{placeholder value}} durch Ihre eigene VPC-Endpunkt-ID. **Um den VPC-Endpunktzugriff in einer Organisation durchzusetzen** 1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namen`policy.json`. ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "DenyOpenSearchUIAccessOutsideVpce", "Effect": "Deny", "Principal": "*", "Action": [ "opensearch:ViewLoginPage", "opensearch:ApplicationAccessAll" ], "Resource": "arn:aws:opensearch:*:*:application/*", "Condition": { "StringNotEqualsIfExists": { "aws:SourceVpce": "{{vpc-endpoint-id}}" } } } ] } ``` 1. Erstellen Sie die Ressourcenkontrollrichtlinie. Führen Sie diesen Befehl vom Verwaltungskonto Ihrer Organisation oder von einem delegierten Administratorkonto aus. ``` aws organizations create-policy \ --name {{DenyOpenSearchUIOutsideVpce}} \ --description "{{Denies OpenSearch UI access outside the approved VPC endpoint}}" \ --type RESOURCE_CONTROL_POLICY \ --content file://policy.json ``` 1. Hängen Sie die Richtlinie dem Stammverzeichnis der Organisation, einer Organisationseinheit oder einem Konto an, je nachdem, welchen Bereich Sie schützen möchten. ``` aws organizations attach-policy \ --policy-id {{p-example12345}} \ --target-id {{111122223333}} ``` Weitere Informationen finden Sie unter [ Anhängen und Trennen von Ressourcensteuerungsrichtlinien ](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps_attach.html) im Benutzerhandbuch für *AWS Organisationen. * Nach Inkrafttreten der Richtlinie kann ein Benutzer außerhalb des genehmigten VPC-Endpunkts nicht mehr auf die Anwendung zugreifen. Je nach Authentifizierungstyp der Anwendung und der angeforderten URL erhält der Benutzer entweder eine `403 forbidden` Antwort statt der Anmeldeseite oder er wird zur Anmeldung weitergeleitet und ihm wird dann der Zugriff auf die Anwendung verweigert. Wenn Sie eine Verbindung über den VPC-Endpunkt herstellen, gelangen Sie zur Anmeldeseite und melden sich normal an. **Anmerkung** Es kann bis zu einer Minute dauern, bis Änderungen an einer Ressourcenkontrollrichtlinie wirksam werden. Wenn Sie unmittelbar nach dem Erstellen, Aktualisieren oder Anhängen einer Richtlinie testen, können Sie immer noch das vorherige Verhalten beobachten. ## Durchsetzung des VPC-Zugriffs im gesamten Unternehmen Um jeden Schnittstellen-VPC-Endpunkt in einer VPC zu genehmigen, anstatt einen Endpunkt zu benennen, verwenden Sie. `aws:SourceVpc` Die folgende Ressourcenkontrollrichtlinie verweigert den Zugriff in der gesamten Organisation, sofern die Anfrage nicht über die angegebene VPC eingeht. Ersetzen Sie die {{placeholder value}} durch Ihre eigene VPC-ID. **Um den VPC-Zugriff in einer Organisation durchzusetzen** 1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namen`policy.json`. ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "DenyOpenSearchUIAccessOutsideVpc", "Effect": "Deny", "Principal": "*", "Action": [ "opensearch:ViewLoginPage", "opensearch:ApplicationAccessAll" ], "Resource": "arn:aws:opensearch:*:*:application/*", "Condition": { "StringNotEqualsIfExists": { "aws:SourceVpc": "{{vpc-id}}" } } } ] } ``` 1. Erstellen Sie die Ressourcensteuerungsrichtlinie und hängen Sie sie an. ``` aws organizations create-policy \ --name {{DenyOpenSearchUIOutsideVpc}} \ --description "{{Denies OpenSearch UI access outside the approved VPC}}" \ --type RESOURCE_CONTROL_POLICY \ --content file://policy.json aws organizations attach-policy \ --policy-id {{p-example12345}} \ --target-id {{111122223333}} ``` ## Durchsetzen des Zugriffs auf den IP-Adressbereich in der gesamten Organisation Die folgende Ressourcenkontrollrichtlinie verweigert den Zugriff im gesamten Unternehmen, es sei denn, die Anfrage stammt aus einem genehmigten IP-Adressbereich, z. B. aus dem öffentlichen Ausgangsbereich Ihres Unternehmensnetzwerks. Ersetzen Sie den {{placeholder values}} durch Ihre eigenen IP-Adressbereiche in CIDR-Notation. **Um den Zugriff auf den IP-Adressbereich in einer Organisation durchzusetzen** 1. Speichern Sie die folgende Richtlinie in einer lokalen Datei mit dem Namen`policy.json`. ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "DenyOpenSearchUIAccessOutsideCorpNetwork", "Effect": "Deny", "Principal": "*", "Action": [ "opensearch:ViewLoginPage", "opensearch:ApplicationAccessAll" ], "Resource": "arn:aws:opensearch:*:*:application/*", "Condition": { "NotIpAddress": { "aws:SourceIp": [ "{{203.0.113.0/24}}", "{{198.51.100.0/24}}" ] } } } ] } ``` 1. Erstellen Sie die Ressourcensteuerungsrichtlinie und hängen Sie sie an. ``` aws organizations create-policy \ --name {{DenyOpenSearchUIExternalAccess}} \ --description "{{Denies OpenSearch UI access from outside corporate IP ranges}}" \ --type RESOURCE_CONTROL_POLICY \ --content file://policy.json aws organizations attach-policy \ --policy-id {{p-example12345}} \ --target-id {{111122223333}} ``` **Anmerkung** Wie beim Beispiel für eine identitätsbasierte IP `aws:SourceIp` ist sie bei Anfragen, die über einen VPC-Endpunkt eingehen, nicht vorhanden. Wenn Sie sowohl private als auch öffentliche Zugriffspfade verwenden, berücksichtigen Sie beide Bedingungsschlüssel, damit Sie nicht versehentlich legitimen VPC-Endpunktverkehr verweigern.