VPC内Nginx代理的AWS OpenSearch不显示租户且切换报错如何解决

你遇到的租户切换报错Failed to switch tenant. Invalid cookie核心是Nginx反向代理的Cookie路径重写规则不匹配，以及OpenSearch Dashboards路径配置缺失，导致租户相关的Cookie无法被后端正确识别。

1. 修正Nginx配置 #

在你现有的/_dashboards location块中调整如下配置：

location /_dashboards {
    # 原有其他转发、缓存配置保持不变
    
    # 把原有proxy_cookie_path替换为下面的配置，去掉路径末尾多余的斜杠
    proxy_cookie_domain $domain-endpoint $host;
    proxy_cookie_path / /_dashboards;
    # 适配现代浏览器的Cookie安全策略，补充安全属性
    proxy_cookie_flags ~ secure samesite=none;
}

如果你的Nginx版本低于1.19.3，不支持proxy_cookie_flags指令，可以替换为如下配置：

proxy_hide_header Set-Cookie;
add_header Set-Cookie "$upstream_http_set_cookie; Secure; SameSite=None";

修改完成后执行nginx -t验证配置语法正确，再执行nginx -s reload重载配置生效。

2. 配置OpenSearch Dashboards基础路径 #

登录AWS OpenSearch控制台，进入对应域的配置页，找到「Dashboards 自定义设置」，添加如下两项配置：

• server.basePath: "/_dashboards"
• server.rewriteBasePath: true
  保存配置后等待域的配置更新完成（通常需要3~5分钟）。

3. 验证修复效果 #

• 清空浏览器所有与你访问域名相关的缓存、Cookie数据
• 重新通过Nginx域名登录OpenSearch Dashboards
• 尝试创建租户、切换租户操作，验证报错是否消失

如果修改后仍有问题，可以按如下方向排查：

• 确认AWS Cognito用户池的回调URL、登出URL均配置为你的Nginx访问域名，而非OpenSearch原始域名
• 打开浏览器开发者工具的「应用-存储-Cookie」面板，检查租户相关Cookie的Domain是否为你访问的Nginx域名、Path是否为/_dashboards，属性是否带有Secure、SameSite=None
• 检查Nginx的error日志，确认没有权限、转发超时类的异常

内容的提问来源于stack exchange，提问作者Mihoubi