Seguridad

Amazon OpenSearch Service ofrece múltiples características de seguridad y cumple los requisitos de la HIPAA y de los estándares PCI DSS, SOC, ISO y FedRamp, de modo que puede cumplir todos sus requisitos de seguridad y conformidad. El acceso a las API de administración de Amazon OpenSearch Service para llevar a cabo operaciones como crear y escalar dominios está controlado mediante políticas de AWS Identity and Access Management (IAM).

Los dominios de Amazon OpenSearch Service pueden configurarse para ser accesibles mediante un punto de conexión dentro de su VPC o a través de un punto de conexión disponible en Internet. El acceso a redes de los puntos de enlace de la VPC está controlado mediante grupos de seguridad; en el caso de los puntos de enlace públicos, se puede conceder o limitar por dirección IP.

Además del control de acceso basado en redes, Amazon OpenSearch Service ofrece autenticación de usuario a través de IAM y autenticación básica mediante nombre de usuario y contraseña. Se puede conceder autorización a nivel de dominio (a través de políticas de acceso al dominio) además de a nivel de índice, documento y campo (mediante la característica de control de acceso detallado con tecnología de OpenSearch). Además, la característica de control de acceso detallado amplía OpenSearch Dashboards y Kibana con visualizaciones de solo lectura y compatibilidad multiusuario segura.

Amazon OpenSearch Service también admite la integración con Amazon Cognito para permitir a sus usuarios finales iniciar sesión en OpenSearch Dashboards y Kibana a través de proveedores de identidades empresariales, como Microsoft Active Directory, mediante SAML 2.0, grupos de usuarios de Amazon Cognito, etc. Una vez iniciada la sesión, Amazon Cognito establece una sesión mediante la IAM principal correspondiente, que brinda acceso al dominio de Amazon OpenSearch Service. Estos agentes principales de IAM estarán disponibles en ese momento para utilizarlos con la característica de control de acceso detallado de OpenSearch.

La seguridad de Amazon OpenSearch Service tiene tres capas principales: red, políticas de acceso al dominio y control de acceso detallado. La primera capa de seguridad es la red, que determina qué peticiones llegan a un dominio. Admitimos acceso público a través de Internet o acceso mediante VPC limitado a grupos de seguridad específicos de su VPC. La política de acceso al dominio es la segunda capa de seguridad. Una vez que una petición llega al punto de enlace de un dominio, la política de acceso al dominio acepta o rechaza la petición de acceso a una URL específica. La política de acceso al dominio acepta o rechaza peticiones en el borde del dominio, antes de que lleguen a OpenSearch. La tercera y última capa de seguridad es un control de acceso detallado. Después de que una política de acceso al dominio permita que una petición llegue al punto de enlace de un dominio, un control de acceso detallado evalúa las credenciales del usuario y autentica al usuario o deniega la petición. Si el control de acceso detallado autentica al usuario, dicho control obtiene todos los roles asignados a ese usuario y utiliza el conjunto completo de permisos para determinar a qué datos tiene acceso el usuario.

Sí, Amazon OpenSearch Service es compatible con cifrado de datos en reposo mediante AWS Key Management Service (KMS), cifrado entre nodos mediante TLS y capacidad para requerir a los clientes comunicarse mediante HTTPS. El cifrado de datos en reposo cifra particiones, archivos de registros, archivos de intercambio e instantáneas de S3 automatizadas. Puede utilizar claves administradas por AWS o elegir las suyas propias. El cifrado entre nodos habilita TLS para todas las comunicaciones entre nodos. Amazon OpenSearch Service implementa y rota certificados de forma automática durante la vida del dominio. Si requiere que sus clientes se comuniquen mediante HTTPS, también tiene la capacidad de especificar la versión de TLS mínima.

Cuando se habilite el acceso de VPC, solo podrá obtenerse acceso al punto de enlace para Amazon OpenSearch Service desde la VPC del cliente. Si desea utilizar su portátil para obtener acceso a OpenSearch Dashboards y Kibana desde fuera de la VPC, debe conectar el portátil a la VPC mediante VPN o VPC Direct Connect.