Настройка привилегий оператора

Для использования функции привилегий оператора её необходимо явно включить на каждом узле кластера. Добавьте следующее значение в каждый файл elasticsearch.yml:

xpack.security.operator_privileges.enabled: true

Если узел уже работает до внесения этого изменения, необходимо перезапустить узел, чтобы функция вступила в силу.

Когда привилегии оператора включены в кластере, определённые функции ограничены и могут выполняться только пользователями, которые были явно обозначены как пользователи-операторы. Если обычный пользователь пытается выполнить эти функции (даже если у него есть роль superuser), возникает исключение безопасности.

Пользователи-операторы — это обычные пользователи Elasticsearch со специальными правами на выполнение функций, доступных только операторам. Они определяются в файле operator_users.yml, который находится в каталоге конфигурации (как определено переменной среды ES_PATH_CONF). Аналогично другим файлам конфигурации безопасности, файл operator_users.yml локален для узла и не применяется глобально к кластеру. Это означает, что в большинстве случаев один и тот же файл следует распространить или скопировать на все узлы кластера.

Файл operator_users.yml определяет набор критериев, которым должен соответствовать аутентифицированный пользователь, чтобы считаться пользователем-оператором. Следующий фрагмент показывает пример такого файла:

operator: 
  - usernames: ["system_agent_1","system_agent_2"] 
    realm_type: "file" 
    auth_type: "realm" 

Необходимо указать, по крайней мере, поле usernames. Если другие поля не указаны, используются значения по умолчанию. Все поля должны совпадать для того, чтобы пользователь считался пользователем-оператором. Также можно указать несколько наборов критериев. В настоящее время это не очень полезно, поскольку эта функция пока не поддерживает другие realm или типы аутентификации.

Также существуют два неявных правила, влияющих на то, какие пользователи являются пользователями-операторами: