OpenSearchサーバレスに会社のGoogleアカウントでログインできるようにした話

前回作ったOpenSearch Dashboardsは社員が自由にアクセスできるようにする必要がありました
ただ、データの内容を世界に晒すわけにもいかないのでOpenSearchサーバーレスのSAML認証を設定してみました
SAML認証を使えば会社のGoogleアカウントでダッシュボードにログインできるようになるのでアカウント発行や削除を気にしなくていいのがうれしいですね
なおこの作業にはGoogle Workspaceのアプリ作成権限が必要です

Google Workspaceでアプリの作成

ここでメタデータ（XMLファイル）をダウンロードしておきます

ACSのURLはhttps://collection.{リージョン}.aoss.amazonaws.com/_saml/acs
エンティティIDはaws:opensearch:{AWSアカウントID}
という形式です

特にマッピングやグループは指定しなくてもログインできるようになります

SAMLプロバイダーの作成

OpenSearchサーバーレスのマネコンでSAMLプロバイダーの作成を行います

分かりやすい名前を付けてダウンロードしたメタデータ（XMLファイル）をインポートします

SAMLプロバイダーを使ってアクセスを許可

Googleでログインさせたいコレクションの詳細画面を開き

紐づけられているデータアクセスポリシーの詳細画面を開き

編集画面を開き

ルールに対して「SAMLユーザーとグループ」のプリンシパルを追加

作成したSAMLプロバイダーを選択し対象を全ユーザーにし保存します

これで完了です

ダッシュボードでログイン

ダッシュボードを開くとログイン方法が選べるようになっていてgoogleを選択してLoginすることでダッシュボードにアクセスできます

ダッシュボードのログイン画面がでないときは

ネットワークポリシーでOpenSearch Dashboardsへのアクセスを有効にし忘れていませんか？