通过AWS Cognito实现嵌入式Kibana iframe的身份验证

这种场景我之前帮不少开发者踩过坑，核心问题确实是浏览器的同源策略和凭证隔离机制，导致iframe无法自动继承父页面的Cognito会话。结合你的情况，这里有几个可行的解决方案，按实现复杂度和安全性排序：

1. 直接传递Cognito ID Token到Kibana URL #

如果你的Kibana已经配置了Cognito作为OIDC身份提供器，可以直接把用户的Cognito ID Token通过URL参数传递给Kibana：

• 从你Web应用的Cognito会话中获取ID Token（注意不是Access Token，Kibana的OIDC认证主要依赖ID Token）
• 构造iframe的URL，把ID Token作为id_token参数拼接进去，示例：

  https://your-kibana-domain.com/app/dashboards#/view/your-dashboard-uuid?id_token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...
  

• 确保Kibana的Elasticsearch后端允许通过URL参数接受令牌，需要在elasticsearch.yml中添加配置：

  xpack.security.authc.providers.oidc.cognito.requested_token_type: id_token
  

• 🔒 安全提醒：URL参数中的令牌可能会被日志记录，建议设置较短的令牌有效期，并且只在必要时使用这种方式。

2. 跨子域名共享Cognito Cookie（同域名场景适用） #

如果你的Web应用和Kibana属于同一主域名的子域名（比如app.yourdomain.com和kibana.yourdomain.com），可以通过配置Cookie共享来自动传递会话：

• 在Cognito用户池的App客户端设置中，将Cookie存储的Domain设置为你的主域名（比如.yourdomain.com，注意开头的点），这样子域名之间可以共享Cookie
• 在Kibana的kibana.yml中配置SameSite Cookie属性，允许跨域iframe访问：

  xpack.security.sameSiteCookies: None
  

  （注意：SameSite=None要求网站必须使用HTTPS，否则浏览器会拒绝设置Cookie）
• 在iframe标签中添加必要的权限属性，确保浏览器允许Cookie传递：

  <iframe 
    src="https://kibana.yourdomain.com/app/dashboards#/view/your-dashboard-uuid"
    sandbox="allow-same-origin allow-scripts allow-cookies"
    width="100%"
    height="600"
  ></iframe>
  

3. 自定义身份代理（最安全的跨域名方案） #

如果是完全跨域名的场景，上面两种方法受限，可以搭建一个简单的身份代理服务：

• 你的Web应用先验证用户的Cognito会话有效性，然后调用AWS STS服务，用用户的Cognito凭证换取临时IAM角色凭证
• 使用临时IAM角色凭证生成Elasticsearch的签名URL（可以用AWS SDK的signRequest方法处理）
• 将生成的签名URL传递给iframe，Kibana会通过签名自动认证用户
• 这种方法的优势是令牌不会暴露，会话有效期可以精准控制，而且不受同源策略限制

关键注意事项 #

• 确保Kibana的Cognito身份提供器配置正确，已经开启了OIDC认证，并且信任你的Cognito用户池
• 如果遇到iframe被拦截的情况，检查Kibana的Content-Security-Policy设置，确保允许你的Web应用域名嵌入iframe
• 所有涉及凭证传递的操作都必须在HTTPS环境下进行，否则浏览器会阻止Cookie和令牌的传递

内容的提问来源于stack exchange，提问作者Somyo Banerjee