AWS OpenSearch嵌入式链接自动认证：能否通过Nginx配置跳过登录验证

该方案完全可行，核心逻辑是将Nginx作为AWS OpenSearch Kibana的反向代理层，所有嵌入自研HTML页面的Kibana请求先转发到Nginx，由Nginx代为携带合法访问凭证请求Kibana服务，终端用户无需手动输入登录信息即可加载可视化内容。

• 先在AWS OpenSearch控制台创建权限最小的专用访问账号：如果是内置基础认证模式，创建仅具备Kibana仪表板只读权限的用户，记录用户名和密码；如果是IAM认证模式，创建对应IAM角色并授予Kibana访问权限。
• 部署EC2实例并安装Nginx，确保EC2安全组放行80/443端口，且EC2的出站规则允许访问OpenSearch Kibana的公网/私有域名。
• 编辑nginx.conf配置文件，添加反向代理规则，根据你的认证模式写入凭证：

基础认证模式配置示例：

location /kibana/ {
    proxy_pass https://你的OpenSearchKibana域名/_plugin/kibana/;
    # 凭证为 用户名:密码 做base64编码后的字符串
    proxy_set_header Authorization "Basic 你的用户名密码base64编码串";
    proxy_set_header Host $host;
    proxy_ssl_server_name on;
    # 配置跨域放行你的自研页面域名
    add_header Access-Control-Allow-Origin "https://你的自研页面域名";
    add_header Access-Control-Allow-Methods "GET, POST, OPTIONS";
}

其中base64编码串可以通过执行命令echo -n "kibana用户名:kibana密码" | base64生成。

• 将HTML页面中原先的Kibana嵌入式链接替换为Nginx代理后的地址，格式为http://你的EC2公网IP/kibana/app/dashboards#/view/你的仪表板ID。
• 执行命令nginx -s reload重启Nginx使配置生效。

• 该方案默认所有能访问Nginx代理地址的用户都可以查看Kibana仪表板，建议仅在内部业务场景使用，或者在Nginx层额外添加IP白名单等访问控制规则。
• 禁止使用管理员权限账号作为代理注入的凭证，仅给专用账号授予必要的仪表板只读权限即可。
• 如果你的OpenSearch开启了SAML/OIDC第三方身份认证，需要额外调整Nginx规则适配对应认证逻辑。
• 生产环境建议给Nginx配置HTTPS证书，避免传输过程中信息泄露。

内容的提问来源于stack exchange，提问作者xyz xyz