Аутентификация пользователей Active Directory

Добавьте конфигурацию домена типа active_directory в elasticsearch.yml в пространстве имён xpack.security.authc.realms.active_directory. Минимально необходимо указать адрес Active Directory domain_name. Если вы настраиваете несколько доменов, также необходимо явно задать атрибут order для управления порядком их проверки при аутентификации.

См. Настройки домена Active Directory для просмотра всех доступных параметров для домена active_directory.

Например, следующая конфигурация домена настраивает Elasticsearch для подключения к ldaps://example.com:636 для аутентификации пользователей через Active Directory:

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0 
            domain_name: ad.example.com
            url: ldaps://ad.example.com:636 

Если вы аутентифицируете пользователей по нескольким доменам в лесу, требуются дополнительные шаги. Существуют небольшие различия в конфигурации и способе аутентификации пользователей.

Установите параметр domain_name в имя корневого домена леса.

Также необходимо установить параметр url, поскольку аутентификация должна выполняться против глобального каталога, который использует другой порт и может не работать на каждом контроллере домена.

Например, следующая конфигурация домена настраивает Elasticsearch для подключения к определённым контроллерам домена на порту глобального каталога с именем домена, установленным как корневой домен леса:

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0
            domain_name: example.com 
            url: ldaps://dc1.ad.example.com:3269, ldaps://dc2.ad.example.com:3269 
            load_balance:
              type: "round_robin" 

В этой конфигурации пользователям потребуется использовать полное имя принципала пользователя (UPN) или имя входа более старой версии. UPN обычно представляет собой конкатенацию имени пользователя и @<DOMAIN_NAME, например, johndoe@ad.example.com. Имя входа более старой версии представляет собой имя NetBIOS-домена, за которым следуют \ и имя пользователя, например, AD\johndoe. Использование имени входа более старой версии требует подключения к обычным портам LDAP (389 или 636) для запроса контейнера конфигурации, чтобы получить имя домена из имени NetBIOS.

(Необязательно) Настройте, как Elasticsearch должен взаимодействовать с несколькими серверами Active Directory.

Параметр load_balance.type можно использовать на уровне домена. Поддерживаются два режима работы: резервирование и балансировка нагрузки. См. Настройки домена Active Directory.

(Необязательно) Настройте пользователя для привязки.

Домен Active Directory аутентифицирует пользователей с помощью запроса привязки LDAP. По умолчанию все операции LDAP выполняются пользователем, от имени которого Elasticsearch выполняет аутентификацию. В некоторых случаях обычные пользователи могут не иметь доступа ко всем необходимым элементам в Active Directory, и требуется пользователь для привязки. Пользователь для привязки может быть настроен и используется для выполнения всех операций, кроме запроса привязки LDAP, который необходим для аутентификации предоставленных пользователем учетных данных.

Использование пользователя для привязки позволяет использовать функцию выполнения от имени других пользователей с доменом Active Directory и возможность поддержания набора пулов соединений с Active Directory. Эти пулы соединений уменьшают количество ресурсов, которые необходимо создавать и уничтожать при каждой аутентификации пользователя.

Следующий пример демонстрирует настройку пользователя для привязки с помощью параметров bind_dn и secure_bind_password:

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0
            domain_name: ad.example.com
            url: ldaps://ad.example.com:636
            bind_dn: es_svc_user@ad.example.com 

Пароль пользователя bind_dn должен быть настроен путём добавления соответствующего параметра secure_bind_password в хранилище ключей Elasticsearch. Например, следующая команда добавляет пароль для указанного выше домена:

bin/elasticsearch-keystore add  \
xpack.security.authc.realms.active_directory.my_ad.secure_bind_password

При настройке пользователя для привязки включение пула соединений включено по умолчанию. Пул соединений можно отключить, используя параметр user_search.pool.enabled.

Сопоставьте пользователей и группы Active Directory с ролями.

Неотъемлемой частью процесса аутентификации по домену является разрешение ролей, связанных с аутентифицированным пользователем. Роли определяют привилегии пользователя в кластере.

Так как с доменом active_directory пользователи управляются внешне на сервере Active Directory, ожидается, что их роли также будут управляться там. Фактически, Active Directory поддерживает понятие групп, которые часто представляют роли пользователей для различных систем в организации.

Домен active_directory позволяет сопоставлять пользователей Active Directory с ролями через их группы Active Directory или другую метаданные. Это сопоставление ролей можно настроить с помощью API сопоставления ролей или с помощью файла, хранящегося на каждом узле. Когда пользователь аутентифицируется по домену Active Directory, привилегии этого пользователя являются объединением всех привилегий, определённых ролями, к которым этот пользователь привязан.

В определении сопоставления вы указываете группы, используя их уникальные имена. Например, следующая конфигурация сопоставления отображает группу Active Directory admins в роли monitoring и user, отображает группу users в роли user и отображает пользователя John Doe в роли user.

Настройка через API сопоставления ролей:

PUT /_security/role_mapping/admins
{
  "roles" : [ "monitoring" , "user" ],
  "rules" : { "field" : {
    "groups" : "cn=admins,dc=example,dc=com" 
  } },
  "enabled": true
}

PUT /_security/role_mapping/basic_users
{
  "roles" : [ "user" ],
  "rules" : { "any": [
    { "field" : {
      "groups" : "cn=users,dc=example,dc=com" 
    } },
    { "field" : {
      "dn" : "cn=John Doe,cn=contractors,dc=example,dc=com" 
    } }
  ] },
  "enabled": true
}

Или, как альтернатива, настройка через файл сопоставления ролей:

monitoring: 
  - "cn=admins,dc=example,dc=com" 
user:
  - "cn=users,dc=example,dc=com" 
  - "cn=admins,dc=example,dc=com"
  - "cn=John Doe,cn=contractors,dc=example,dc=com" 

Для получения дополнительной информации см. Сопоставление пользователей и групп с ролями.

(Необязательно) Настройте параметр metadata в домене Active Directory для включения дополнительных свойств в метаданные пользователя.

По умолчанию, ldap_dn и ldap_groups заполняются в метаданных пользователя. Для получения дополнительной информации см. Метаданные пользователей в доменах Active Directory.