Interfaz OpenSearch de usuario centralizada (paneles de control) con Amazon Service OpenSearch

OpenSearch la interfaz de usuario es la experiencia de análisis operativo modernizada de Amazon OpenSearch Service. En comparación con los OpenSearch paneles de control existentes, que se alojan en dominios o colecciones individuales y solo admiten una fuente de datos, la interfaz de OpenSearch usuario se crea como una aplicación basada en la web y se ejecuta en la AWS nube, de modo que se puede asociar a fuentes de datos de varios clústeres gestionados, colecciones sin servidor y fuentes de AWS datos conectadas, como Amazon S3. Con la interfaz de OpenSearch usuario, puede obtener información exhaustiva sobre sus datos en una interfaz unificada. Si busca documentación sobre los OpenSearch paneles de control que se encuentran en el mismo lugar que cada clúster o colección gestionados, consulte los paneles de control (ubicados junto con el clúster).

OpenSearch La interfaz de usuario presenta el concepto de espacios de trabajo. Un espacio de trabajo es una experiencia personalizada para casos de uso comunes, como los análisis de observabilidad y seguridad. Puedes crear un espacio de trabajo para cada uno de tus casos de uso o equipos y gestionar los colaboradores y las fuentes de datos asociadas a cada espacio de trabajo, de forma que puedas gestionar fácilmente el control de acceso y la colaboración entre tus equipos. En la interfaz de OpenSearch usuario, Discover ofrece una experiencia de exploración de registros unificada que admite lenguajes populares como SQL y Piped-Processing-Language (PPL), además de ofrecer soporte ya existente para DQL Lucene.

Para usar la interfaz de OpenSearch usuario, puede crear una aplicación de OpenSearch interfaz de usuario desde la consola AWS de administración o mediante AWS Command Line Interface (CLI). Puedes encontrar la lista de las OpenSearch aplicaciones que has creado en la consola de Amazon OpenSearch Service, en la sección Administración central. Cada OpenSearch aplicación tiene su propio punto de conexión URL y su propio nombre de recurso de Amazon (ARN). Puede usar el punto de conexión URL para abrir la OpenSearch aplicación y compartirla fácilmente con sus colegas para que puedan colaborar. Puede configurar cada OpenSearch aplicación para que admita el inicio de sesión con credenciales de AWS Identity and Access Management Identity and Access Management (IAM) o IAM Identity Center (iDC), y administrar los permisos de usuario y grupo de la aplicación.

nota

OpenSearch La aplicación de interfaz de usuario (paneles) admite el uso de aplicaciones iDC creadas en una región diferente. Para usar iDC, cree la OpenSearch aplicación en la misma región que la instancia de la aplicación iDC.

Crear una aplicación OpenSearch

Para crear una OpenSearch aplicación en la consola, haga lo siguiente:

1. Abre AWS Management Console y ve a la página de inicio OpenSearch de Amazon Service.

2. En la ventana de navegación izquierda, busca la pestaña de la interfaz OpenSearch de usuario (paneles de control)

3. Seleccionar Create Application

Para crear una OpenSearch aplicación, AWS Command Line Interface haga lo siguiente:

aws opensearch create-application \
      --name myapplication

aws opensearch create-application \
      --name myapplication \
      --iam-identity-center-options "
            {
            \"enabled\":true,
            \"iamIdentityCenterInstanceArn\":\"arn:aws:sso:::instance/ssoins-xxxxxxxxx\",
            \"iamRoleForIdentityCenterApplicationArn\":\"arn:aws:iam::555555555555:role/xxxxxxxx\"
            }
      "

Controlar el acceso a una OpenSearch aplicación

OpenSearch La interfaz de usuario admite tanto AWS Identity and Access Management (IAM) como IAM Identity Center (iDC) para iniciar sesión. Al crear una OpenSearch aplicación, las opciones predeterminadas son usar IAM y se pueden administrar los permisos de los IAM usuarios para acceder a la OpenSearch aplicación. Si lo desea, puede optar por utilizar el iDC, que enlaza con sus proveedores de identidad actuales, para que los usuarios inicien sesión en la OpenSearch aplicación. Para habilitar iDC, haga clic en la casilla de verificación «Autenticarse con IAM Identity Center» en el flujo de trabajo de creación de la OpenSearch aplicación y, a continuación, conceda a los usuarios de iDC el permiso para acceder a la aplicación. OpenSearch

También puede configurar las configuraciones de iDC a IAM través del. AWS Command Line Interface Vea el siguiente ejemplo:

aws opensearch create-application \
      --name myapplication

aws opensearch create-application \
      --name myapplication \
      --iam-identity-center-options "
            {
            \"enabled\":true,
            \"iamIdentityCenterInstanceArn\":\"arn:aws:sso:::instance/ssoins-xxxxxxxxx\",
            \"iamRoleForIdentityCenterApplicationArn\":\"arn:aws:iam::555555555555:role/xxxxxxxx\"
            }
      "

También tendrá que especificar la siguiente política de confianza para su IAM función medianteiamRoleForIdentityCenterApplication:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "application.opensearchservice.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:SetContext"
            ],
            "Condition": {
                "ForAllValues:ArnEquals": {
                    "sts:RequestContextProviders": "arn:aws:iam::aws:contextProvider/IdentityCenter"
                }
            }
        }
    ]
}

También tendrás que definir las siguientes políticas de permisos para el rol:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IdentityStoreOpenSearchDomainConnectivity",
            "Effect": "Allow",
            "Action": [
                "identitystore:DescribeUser",
                "identitystore:ListGroupMembershipsForMember",
                "identitystore:DescribeGroup"
            ],
            "Resource": "*",
            "Condition": { 
                "ForAnyValue:StringEquals": {
                    "aws:CalledViaLast": "es.amazonaws.com"
                }
            }
        },
        {
            "Sid": "OpenSearchDomain", 
            "Effect": "Allow",
            "Action": [
                "es:ESHttp*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "OpenSearchServerless", // if need to access OpenSearch serverless collections
            "Effect": "Allow",
            "Action": [
                "aoss:APIAccessAll"
            ],
            "Resource": "*"
        }
    ]
}

Además de habilitar iDC OpenSearch, tendrás que especificar la siguiente política de confianza para tu IAM rol mediante el iamRoleForIdentityCenterApplication parámetro:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "application.opensearchservice.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:SetContext"
            ],
            "Condition": {
                "ForAllValues:ArnEquals": {
                    "sts:RequestContextProviders": "arn:aws:iam::aws:contextProvider/IdentityCenter"
                }
            }
        }
    ]
}

Defina el administrador de OpenSearch la aplicación

OpenSearch El administrador de aplicaciones es el rol definido con permiso para editar y eliminar una OpenSearch aplicación. Como creador de una OpenSearch, serás el primer administrador de la OpenSearch aplicación por defecto. Se pueden añadir administradores adicionales a la OpenSearch aplicación AWS Management Console, ya sea durante el flujo de trabajo de creación de la aplicación o en la página «editar aplicación». Para ello, busque los nombres de los administradores ARN de la aplicación o IAM los nombres de los usuarios de iDC en la barra de búsqueda de administradores de la OpenSearch aplicación. Se pueden eliminar administradores adicionales, pero debe haber al menos un administrador para cada aplicación. OpenSearch

OpenSearch la administración de la aplicación también se puede realizar a través del AWS Command Line Interface. Estos son algunos ejemplos de cómo añadir IAM directores y usuarios de iDC como administradores al crear una OpenSearch aplicación.

aws opensearch create-application \
    --name myapplication \
    --app-configs "
        {
        \"key\":\"opensearchDashboards.dashboardAdmin.users\",
        \"value\":\"arn:aws:iam::555555555555:user/xxxxxxxx\"
        }
    "

aws opensearch create-application \
    --name myapplication \
    --iam-identity-center-options "
        {
        \"enabled\":true,
        \"iamIdentityCenterInstanceArn\":\"arn:aws:sso:::instance/ssoins-xxxxxxxxx\",
        \"iamRoleForIdentityCenterApplicationArn\":\"arn:aws:iam::555555555555:role/xxxxxxxx\"
        }
    " \
    --app-configs "
        {
        \"key\":\"opensearchDashboards.dashboardAdmin.users\",
        \"value\":\"xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx\"
        }
    "

Estos son algunos ejemplos de cómo actualizar a IAM los directores y a los usuarios de iDC como administradores de una aplicación existente. OpenSearch

aws opensearch update-application \
    --id myapplication \
    --app-configs "
        {
        \"key\":\"opensearchDashboards.dashboardAdmin.users\",
        \"value\":\"arn:aws:iam::555555555555:user/xxxxxxxx\"
        }
    "


aws opensearch update-application \
    --id myapplication \
    --app-configs "
        {
        \"key\":\"opensearchDashboards.dashboardAdmin.users\",
        \"value\":\"xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx\"
        }
    "

Asocie fuentes de datos a una aplicación OpenSearch

Una OpenSearch aplicación puede funcionar con varias fuentes de datos, incluidos los dominios gestionados por el OpenSearch servicio y las colecciones sin servidor, así como con fuentes de datos integradas, como Amazon S3.

Para asociar fuentes de datos a una AWS aplicación, haga clic en el botón de asociar recursos situado en la tabla «Fuentes de datos asociadas» y siga las instrucciones.

Como alternativa, puede utilizar el AWS Command Line Interface para llamar a una OpenSearch aplicación y actualizar las fuentes de datos asociadas.

aws opensearch-es create-application \
      --name myapplication \
      --data-sources "[{\"dataSourceArn\": \"arn:aws:es:us-east-1:555555555555:domain/xxxxxxxx\"}]"
      

aws opensearch update-application \
      --id myapplication \
      --data-sources "[{\"dataSourceArn\": \"arn:aws:es:us-east-1:555555555555:domain/xxxxxxxx\"}]"

Asóciese con OpenSearch dominios en VPC

Para asociar un dominio dentro de a VPC como fuente de datos a una aplicación de Dashboards de interfaz de OpenSearch usuario, es necesario que el VPC propietario autorice el acceso desde el dominio.

Para autorizar un VPC dominio desde: AWS Management Console

1. Ve a la página de inicio OpenSearch de la consola de servicio.

2. Selecciona Dominios en la barra de navegación izquierda y abre el dominio específico en vpc.

3. En VPClos puntos de enlace, selecciona Autorizar el principal y, a continuación, Autorizar los principales de otros. AWS Seleccione OpenSearch las aplicaciones (panel de control) en la lista desplegable

Para autorizar el acceso al VPC dominio desde AWS Command Line Interface, puede usar el authorize-vpc-endpoint-access comando

aws opensearch authorize-vpc-endpoint-access \
 --domain-name <domain-name> \
 --service application.opensearchservice.amazonaws.com \
 --region <region> 

Asocie con colecciones OpenSearch sin servidor en VPC

Para asociar una colección OpenSearch sin servidor dentro de una VPC como fuente de datos a las aplicaciones de la interfaz de OpenSearch usuario de los paneles de control, es necesario que el propietario de la VPC colección autorice específicamente el acceso mediante la creación de una nueva política de red y la adjunte a la colección.

Para crear o actualizar una nueva política de red para que una colección VPC funcione con una OpenSearch aplicación desde: AWS Management Console

1. Ve a la página de inicio OpenSearch de la consola de servicio y selecciona Políticas de red en Serverless.

2. Selecciona Crear política de red o selecciona una política existente y selecciona Editar.

3. En la página de configuración, vaya a la sección Tipo de acceso.

4. Seleccione Privado (recomendado) y, a continuación, seleccione Acceso privado al AWS servicio.

5. En la barra de búsqueda, seleccionaapplication.opensearchservice.amazonaws.com.

6. Seleccione la casilla Habilitar el acceso al OpenSearch punto final en la sección de tipo de recurso.

7. En la barra de búsqueda del nombre de la colección, introduzca o seleccione el nombre de las colecciones que desee adjuntar a esta política de red.

8. Cree o guarde la configuración de la política de red.

Para crear o actualizar una nueva política de red para que una colección VPC funcione con una OpenSearch aplicación desde el AWS Command Line Interface, puede utilizar los siguientes ejemplos:

% aws opensearchserverless create-security-policy \
--type network  \
--region $region \
--endpoint-url=$endpoint \
--name allow-public-service \
--policy file:/<path_to_network_policy_json_file>
{
    "securityPolicyDetail": {
        "createdDate": ******,
        "lastModifiedDate": ******,
        "name": "<network_policy_name>",
        "policy": [
            {
                "SourceVPCEs": [],
                "AllowFromPublic": false,
                "Description": "Test network policy statement",
                "Rules": [
                    {
                        "Resource": [
                            "collection/<network_policy_name>"
                        ],
                        "ResourceType": "collection"
                    }
                ],
                "SourceServices": [
                    "application.opensearchservice.amazonaws.com"
                ]
            }
        ],
        "policyVersion": "******",
        "type": "network"
    }
} 

Como alternativa, puede actualizar una política de red existente:

% aws opensearchserverless update-security-policy \
--type network  \
--region $region \
--endpoint-url=$endpoint \
--name allow1-service \
--policy-version "<policy_version_from_output_of_network_policy_creation>" \
--policy file:/<path_to_network_policy_json_file>
{
    "securityPolicyDetail": {
        "createdDate": ******,
        "lastModifiedDate": ******,
        "name": "<network_policy_name>",
        "policy": [
            {
                "SourceVPCEs": [],
                "AllowFromPublic": false,
                "Description": "Test network policy statement",
                "Rules": [
                    {
                        "Resource": [
                            "collection/<network_policy_name>"
                        ],
                        "ResourceType": "collection"
                    }
                ],
                "SourceServices": [
                    "application.opensearchservice.amazonaws.com"
                ]
            }
        ],
        "policyVersion": "******",
        "type": "network"
    }
}

Ejemplo de JSON archivo de política de red:

[{
    "Description" : "Test network policy statement",
    "Rules": [{
       "ResourceType" : "collection",
        "Resource" : ["collection/<collection_name>"]
     }],
    "SourceServices" : [
          "application.opensearchservice.amazonaws.com"
      ],
      "AllowFromPublic" : false
}]

Cuando la asociación ya no sea necesaria, el propietario del VPC dominio puede revocar el acceso mediante los siguientes pasos:

1. Ve a la página de inicio OpenSearch de la consola de servicio.

2. Selecciona Dominios en la barra de navegación izquierda y abre el dominio específico en élVPC.

3. En VPC los puntos finales, selecciona AWS Servicio-Aplicaciones de OpenSearch servicio (panel de control) en la lista de entidades autorizadas y selecciona Revocar el acceso.

Crear espacios de trabajo en una aplicación OpenSearch

Una vez creada una OpenSearch aplicación con las fuentes de datos y los permisos de usuario asociados, el siguiente paso es iniciar la OpenSearch aplicación para crear espacios de trabajo. Para ello, puede seleccionar el botón Iniciar aplicación o utilizar la OpenSearch aplicación URL para abrir la página de inicio de la OpenSearch aplicación en una nueva página web. La OpenSearch aplicación mostrará una lista de todos los espacios de trabajo existentes en la página de inicio, clasificados por caso de uso.

Para asociar fuentes de datos a una AWS aplicación, haga clic en el botón de asociar recursos situado en la tabla «Asociar fuentes de datos» y siga las instrucciones.

Actualmente, hay cinco tipos de espacios de trabajo disponibles en OpenSearch Service, cada uno con diferentes funciones disponibles para cada caso de uso específico.

• El espacio de trabajo de Observability está diseñado para aumentar la visibilidad del estado, el rendimiento y la confiabilidad del sistema mediante la supervisión de los registros, las métricas y los rastreos. El espacio de trabajo de observabilidad es compatible

• El espacio de trabajo de Security Analytics está diseñado para detectar e investigar posibles amenazas y vulnerabilidades de seguridad en sus sistemas y datos.

• El espacio de trabajo de búsqueda está diseñado para buscar y explorar rápidamente la información relevante en las fuentes de datos de su organización.

• El espacio de trabajo Essentials está diseñado para OpenSearch Serverless como fuente de datos y permite analizar los datos para obtener información, identificar patrones y tendencias y tomar decisiones basadas en los datos. Además, permite encontrar y explorar rápidamente la información relevante en las fuentes de datos de su organización.

• El espacio de trabajo Analytics (todas las funciones) está diseñado para casos de uso polivalentes y es compatible con todas las funciones disponibles en la interfaz de usuario del OpenSearch servicio (paneles).