Elasticsearch ServiceでSAML連携してAuth0のユーザーでログインしてみる

KibanaのSAML認証が試せるように、Auth0とSAML連携してAuth0のユーザーでKibanaにログインするための具体的な設定方法を紹介します。

#SAML

#Okta Customer Identity Cloud（Auth0）

#Elasticsearch

#Amazon Elasticsearch Service

#AWS

Kitano Yuichi

2020.11.18

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

先日、Elsatcisearch ServiceがKibanaのSAML認証をサポートしました！

実際にKibanaのSAML認証が試せるように、Auth0とSAML連携してAuth0のユーザーでKibanaにログインするための具体的な設定方法を紹介します。

前提

Auth0のアカウントとユーザーはすでに作成されていることを前提とします。

次の弊社ブログを参考に、Auth0のアカウントとユーザーを作成してください。

Elasticsearch Serviceの構築

マネジメントコンソールでElasticsearch Serviceの画面を開き、新しいドメインを作成します。

検証目的ですので、デプロイタイプは 開発およびテスト を選択します。 Elasticsearchのバージョンは現段階で最新の 7.8 を選択します。

SAML認証に対応しているのは、バージョン6.7以降であることに注意してください。

SAML Authentication for Kibana - Amazon Elasticsearch Service

次の項目を設定していきます。

項目名	値	備考
Elasticsearchドメイン名	auth0-es-sample	ドメイン名は任意
インスタンスタイプ	t3.small	検証なのでコストの低いt系インスタンスを選択

次の項目を設定していきます。

項目名	値	備考
ネットワーク構成	パブリックアクセス	-
細かいアクセスコントロールを有効化	有効	-
マスターユーザー名	admin	マスターユーザー名は任意
マスターパスワード	*****	パスワードは任意
SAML認証を準備する	有効	-
ドメインアクセスポリシー	ドメインへのオープンアクセス許可	-

確認画面が表示されるので、設定値を確認して問題なければドメインを作成します。

ドメインのステータスが 読み込み中 になり、10分ほどで初期化が終わります。初期化中に、Auth0の方の設定も進めていきます。

Auth0のApplicationの作成と設定

Auth0のダッシュボードのApplicationから、CREATE APPLICATIONをクリックして新しいApplicationを作成します。

適当な名前をつけて、 Regular Web Applications を選択してCREATEします。

Applicationが作成できたら、Addonsタブを選択して SAML2 WEB APP をクリックします。

Usageタブを選択して Identity Provider Metadata をダウンロードして保存します。このダウンロードしたファイルをElasticsearch ServiceのSAML認証の設定に使います。

ログインユーザーのKibanaの権限設定

SAML認証の連携をする前に、SAML認証連携後にログインするユーザーがKibanaを利用できるような権限をつけてあげます。

Elasticsearch Serviceの画面からKibanaのログイン画面を開きます。

構築時に設定した マスターユーザー名 と パスワード でログインします。

ログインできたらトップページのハンバーガーボタンでメニューを開いて、 Security の項目を選択します。

Role Mappings を選択します。

security_manager を選択します。

ログインに利用しようと考えているAuth0のユーザーの user_id を控えておき、Add User して Users に user_id を設定してSubmitします。

この設定をしておくことで、SAML連携してAuth0のユーザーでログインした際に、 security_manager の権限でログインできます。

Elasticsearch ServiceのSAML認証を有効化

Elasticsearch Serviceの画面に戻り、SAML認証を有効化します。

アクションから 認証を変更 を選択します。

SAML認証を有効化 にチェックを入れます。

IdPメタデータのインポートは XMLファイルからインポート をクリックして、さきほどAuth0からダウンロードして保存した Identity Provider Metadata をアップロードします。

アップロードできたら送信ボタンを押して、変更を確定します。

ドメインのステータスが処理中になるので、変更が完了するまで数分待ちます。

変更が完了すると、SAML認証が有効になり下の方にSAMLの詳細が表示されます。 SAMLの詳細で表示されている、 SPによって開始されたSSO URL をメモしてください。このURLをAuth0の設定で使用します。

Auth0のSAML IdPの設定

Auth0の設定に戻ります。

Applicationのページを開いて、Addonsタブを選択して SAML2 WEB APP をクリックします。

Application Callback URL の項目に、先ほどメモした SPによって開始されたSSO URL を入力します。

また、ログアウトも連携できるように Settings に次のような設定を入力して、下の方にある ENABLE ボタンを押します。

{
  "logout": {
    "callback": "https://<<Elasticsearchのドメインエンドポイント>>/_plugin/kibana/_opendistro/_security/saml/logout",
    "slo_enabled": true
  }
}