使用 AWS Cognito 连接到基于 VPC 的 Kibana答案

【问题标题】：Connecting to VPC-based Kibana using AWS Cognito使用 AWS Cognito 连接到基于 VPC 的 Kibana
【发布时间】：2018-05-29 09:08:54
【问题描述】：

我是 AWS 的初学者，对 AWS Cognito 系统有点困惑。

我在 VPC 后面有一个 AWS Elasticsearch 服务。我正在尝试使用 AWS Cognito 访问 Kibana 终端节点，但是当我导航到登录屏幕时，我看到了一个空白页面。

我正在尝试做的事情是否可行，或者我是否需要先通过 VPN 进入 VPC 才能进入登录屏幕？如果是这样，我如何授予公共用户对 Kibana 的访问权限（没有 VPN 的麻烦？）更好的解决方案是让反向代理指向 Kibana 并将其与 AWS Cognito 结合起来吗？感谢您的帮助。

注意：我使用的是 Elasticsearch 6.2

【问题讨论】：

【解决方案1】：

当我设置相同的设置时，我有相同的输出，但不记得究竟是哪个阶段解决了它。

在这个阶段，您似乎已经将访问策略设置为使用 Cognito 角色，否则您将不会最终进入 cognito 登录页面（即使现在为空白）。

这与缺乏访问权限（即没有 VPN）或缺少 UI 自定义无关，这绝对是可以实现的。如果你想让我更深入地研究它，请告诉我。

编辑：当我直接转到我的 cognito 池的域 url（即https://yourdomain.auth.your-region.amazoncognito.com）时，我仍然得到一个空白页。只有在访问受保护的应用程序（kibana）时才会填写登录页面（可能链接到上述应用程序客户端设置）。

【讨论】：

非常感谢您的评论！我最终使用了一个公共端点 Elasticsearch（效果很好）。我不确定我是否理解正确：当您导航到 vpc-domain-name-identifier.region.es.amazonaws.com/_plugin/… 时，您最终会进入登录屏幕，并且您可以在不使用 VPN 或任何类型的 SSH 隧道的情况下访问 Kibana？我仍然怀疑 AWS Cognito 是否可以与基于 VPC 的 ES 一起使用 - 但很好奇。我在这篇 Medium 帖子上进行了类似的讨论（见下面的 cmets）medium.com/tensult/…
我们在本地网络和 VPC 之间确实有站点到站点 VPN。 VPC 是为了让事物“内部”可访问。通常您不会仅为 kibana 构建 VPC，因此如果您想利用其他 VPC 功能（即 EC2），您可能拥有某种 VPN。我确认 VPC ES + Cognito 工作正常，我当前的设置是基于 VPC 的 ES + Cognito，它依赖于外部提供商 (SAML)。我可以像管理 IDP 系统中的任何其他应用程序一样管理对 Kibana 的访问授权和身份验证。不利的一面是，VPC 流日志无法通过 Firehose 推送到基于 VPC 的 ES。

【解决方案2】：

我在我的 GitHub 存储库中创建了一个 wiki 页面，因为我在过去几天做了同样的事情（公共 ESS 和 Cognito）。您可以获取信息HERE，我希望它有助于解决问题！

【讨论】：