Настройка делегирования авторизации

Ниже приведен пример конфигурации доступа LDAP, который может быть использован в качестве доступа для авторизации. Этот доступ LDAP настроен в режиме поиска пользователей с указанным фильтром.

Дополнительную информацию о настройке доступа LDAP см. в разделе Аутентификация пользователей LDAP.

xpack:
  security:
    authc:
      realms:
        ldap:
          ldap1:
            order: 0
            authentication.enabled: true 
            user_search:
              base_dn: "dc=example,dc=org"
              filter: "(cn={0})"
            group_search:
              base_dn: "dc=example,dc=org"
            files:
              role_mapping: "ES_PATH_CONF/role_mapping.yml"
            unmapped_groups_as_roles: false

Ниже приведен пример конфигурации, где доступ Kerberos аутентифицирует пользователя, а затем делегирует авторизацию доступу LDAP. Доступ Kerberos аутентифицирует пользователя и извлекает имя принципала пользователя (обычно в формате user@REALM). В этом примере мы включаем настройку remove_realm_name, чтобы удалить часть @REALM из имени принципала пользователя, чтобы получить имя пользователя. Это имя пользователя используется для поиска пользователя с помощью настроенных доступов для авторизации (в данном случае, доступа LDAP).

Дополнительную информацию о доступе Kerberos см. в разделе Аутентификация Kerberos.

xpack:
  security:
    authc:
      realms:
        kerberos:
          kerb1:
            order: 1
            keytab.path: "ES_PATH_CONF/es.keytab"
            remove_realm_name: true
            authorization_realms: ldap1

Аналогичным образом, мы можем настроить доступ PKI для делегирования авторизации доступу LDAP. Пользователь аутентифицируется доступом PKI, а авторизация делегируется доступу LDAP. В этом примере имя пользователя — это общее имя (CN), извлечённое из DN сертификата клиента. Доступ LDAP использует это имя пользователя для поиска пользователя и назначения роли.

Дополнительную информацию о доступе PKI см. в разделе Аутентификация PKI.

xpack:
  security:
    authc:
      realms:
        pki:
          pki1:
            order: 2
            authorization_realms: ldap1

Аналогично вышеприведенным примерам, мы можем настроить доступы для делегирования авторизации доступам для авторизации (которые обладают возможностью поиска пользователей по имени пользователя и назначения ролей).