启用SAML的AWS OpenSearch中，Lambda如何通过基本认证访问？

你的问题核心在于OpenSearch多认证域的优先级配置，以及基本认证请求的传递方式。以下是具体原因和解决步骤：

原因说明 #

当同时启用SAML和内部基本认证时，OpenSearch会按照认证域的order值（数值越小优先级越高）匹配认证方式。默认情况下SAML认证域的优先级可能高于内部基本认证，导致请求即使携带了基本认证信息，也会先触发SAML的重定向逻辑，忽略URL中的用户名密码。

解决步骤 #

1. 调整认证域优先级 #

修改OpenSearch的安全配置，将basic_internal_auth_domain的优先级设为高于saml_auth_domain：

• 调用OpenSearch的安全配置API（或通过Dashboards安全模块）更新认证域配置：

PUT _plugins/_security/api/authc
{
  "authc": {
    "basic_internal_auth_domain": {
      "http_enabled": true,
      "transport_enabled": true,
      "order": 0,
      "http_authenticator": {
        "type": "basic",
        "challenge": false
      },
      "authentication_backend": {
        "type": "internal"
      }
    },
    "saml_auth_domain": {
      "http_enabled": true,
      "transport_enabled": true,
      "order": 1,
      "http_authenticator": {
        "type": "saml",
        "challenge": true,
        "config": {
          // 保留原有的SAML配置
        }
      },
      "authentication_backend": {
        "type": "saml"
      }
    }
  }
}

• 关键配置：将basic_internal_auth_domain的order设为0，saml_auth_domain设为1；同时把基本认证的challenge设为false，避免自动弹出认证框，让SAML在无基本认证信息时接管。

2. 修正Lambda的认证请求方式 #

不要使用https://user:password@domain的URL嵌入方式，改为在请求头中携带Basic Auth令牌：

• 以Python Lambda为例：

import base64
import requests

def lambda_handler(event, context):
    os_username = "你的内部用户名"
    os_password = "你的内部用户密码"
    # 生成Base64编码的认证令牌
    auth_str = base64.b64encode(f"{os_username}:{os_password}".encode()).decode()
    headers = {
        "Authorization": f"Basic {auth_str}",
        "Content-Type": "application/json"
    }
    
    # 发送请求到OpenSearch
    response = requests.get(
        "https://your-opensearch-domain/_cat/indices",
        headers=headers,
        verify=False  # 若使用自签名证书，需添加此参数；生产环境建议配置证书验证
    )
    return {"status_code": response.status_code, "response": response.text}

• 这种方式能确保认证信息被OpenSearch正确识别，避免被代理或HTTP客户端忽略。

3. 验证内部用户权限 #

确保你使用的内部用户已被分配足够的角色权限（如read_all或自定义角色），避免认证通过后出现403权限错误。可通过OpenSearch Dashboards的Security → Roles模块配置。

4. 检查前端代理配置 #

如果OpenSearch前端有CloudFront、Nginx等代理，需确保：

• 允许Authorization请求头传递到后端实例
• 没有强制将所有请求重定向到SAML身份提供商的规则

内容的提问来源于stack exchange，提问作者MartinHignett