AWS QuickSight对接Elasticsearch能否实现按用户组的文档级细粒度权限控制

你需要的基于用户组的Elasticsearch文档级细粒度访问控制完全可以落地，不存在能力缺失。你之前通过QuickSight自带安全角色配置没实现需求，大概率是对QuickSight行级安全能力的适配范围、配置路径存在认知偏差，按照下面的路径就能配置出符合要求的管控效果。

QuickSight的官方行级安全（RLS）能力已经完整适配Elasticsearch数据源，配置的过滤规则会直接下推到ES侧执行，不需要在QuickSight本地拉取全量数据后再做筛选，能从数据源层保证无权限数据不会被返回给终端用户，完全满足“无权限数据在所有可视化视图位置完全隐藏”的要求。

• 先打通QuickSight侧的用户组映射：把A、B两个业务组和QuickSight绑定的身份源（IAM Identity Center、企业SAML身份源、QuickSight内置用户组）做关联，确保实际登录的用户能被系统正确识别归属的A/B组，避免组匹配错位导致的权限错配
• 进入对应Elasticsearch数据集的配置页，打开**行级安全（RLS）**配置面板，不要选择静态全权限规则，切换到「基于用户组的动态行级规则」模式
• 按照业务要求绑定规则：
  • 给A组用户配置过滤规则：group = 'A'，打开规则下推到数据源执行的开关
  • 给B组用户配置过滤规则：group = 'B'，同样开启下推执行开关
• 配置完成后做全链路效果验证：分别用A、B组的测试账号登录QuickSight，检查同一个可视化视图的图表聚合结果、侧边筛选器的可选值、明细数据导出结果，确认其他组的记录完全不会出现，不存在权限绕过的路径

• 混淆权限管控层级：很多人一开始会调整QuickSight的空间访问权限、数据集授权规则，这两类配置只能控制用户能不能打开这个数据集/空间，根本做不到按单条记录维度过滤数据，自然实现不了差异化的数据访问
• 用前端筛选逻辑冒充权限控制：不少人会在QuickSight筛选器里写类似group = '${user.group}'的动态参数映射，这种方式的过滤逻辑是在前端执行的，用户完全可以手动修改筛选值、甚至通过URL参数篡改拿到全量数据，安全强度根本达不到“无权限数据完全隐藏”的要求，不是真正的权限管控
• 指望ES侧原生权限和QuickSight打通：QuickSight连接Elasticsearch时用的是固定的服务账号身份，你在ES侧给真实登录用户配的文档级访问权限，对QuickSight发起的查询完全不生效——因为ES侧只会校验QuickSight服务账号的权限，根本识别不了终端用户的真实身份

内容的提问来源于stack exchange，提问作者user3311613