Определение ролей

Ниже описана структура записи разрешений на индексы:

{
  "names": [ ... ], 
  "privileges": [ ... ], 
  "field_security" : { ... }, 
  "query": "..." 
  "allow_restricted_indices": false 
}

"foo-bar":               # match the literal `foo-bar`
"foo-*":                 # match anything beginning with "foo-"
"logstash-201?-*":       # ? matches any one character
"/.*-201[0-9]-.*/":      # use a regex to match anything containing 2010-2019
"/foo":                  # syntax error - missing final /

Ниже описана структура записи глобальных привилегий:

{
  "application": {
    "manage": {    
        "applications": [ ... ] 
    }
  }
}

Ниже описана структура записи привилегий приложения:

{
  "application": "my_app", 
  "privileges": [ ... ],   
  "resources": [ ... ]     
}

Подробные сведения о правилах проверки этих полей см. в API добавления привилегий приложения.

Роль может ссылаться на привилегии приложений, которые не существуют — то есть они ещё не были определены с помощью API добавления привилегий приложения (или были определены, но затем были удалены). В этом случае привилегия не оказывает никакого действия и не предоставляет никаких действий в API проверки наличия привилегий.

Следующий фрагмент показывает пример определения роли clicks_admin:

POST /_security/role/clicks_admin
{
  "run_as": [ "clicks_watcher_1" ],
  "cluster": [ "monitor" ],
  "indices": [
    {
      "names": [ "events-*" ],
      "privileges": [ "read" ],
      "field_security" : {
        "grant" : [ "category", "@timestamp", "message" ]
      },
      "query": "{\"match\": {\"category\": \"click\"}}"
    }
  ]
}

Основываясь на вышеуказанном определении, пользователи, обладающие ролью clicks_admin, могут:

Существует два доступных механизма для определения ролей: использование API управления ролями или в локальных файлах на узлах Elasticsearch. Также можно реализовать пользовательские поставщики ролей. Если вам необходимо интегрироваться с другой системой для получения ролей пользователей, можно создать плагин пользовательского поставщика ролей. Более подробную информацию см. в разделе Настройка ролей и авторизации.

Вы можете легко управлять пользователями и ролями в Kibana. Для управления ролями войдите в Kibana и перейдите в Управление / Безопасность / Роли.

API управления ролями позволяют динамически добавлять, обновлять, удалять и получать роли. Когда вы используете API для управления ролями в среде native, роли хранятся во внутреннем индексе Elasticsearch. Дополнительную информацию и примеры см. в разделе API управления ролями.

Помимо API управления ролями, роли также могут быть определены в локальном файле roles.yml, расположенном в ES_PATH_CONF. Это файл YAML, где каждая запись определения роли имеет соответствующее имя.

Хотя API управления ролями является предпочтительным механизмом для определения ролей, использование файла roles.yml становится полезным, если вы хотите определить фиксированные роли, которые никто (кроме администратора с физическим доступом к узлам Elasticsearch) не сможет изменить. Обратите внимание, что файл roles.yml предоставляется как минимальная административная функция и не предназначен для определения ролей для всех случаев использования.

Следующий фрагмент демонстрирует пример конфигурации файла roles.yml:

click_admins:
  run_as: [ 'clicks_watcher_1' ]
  cluster: [ 'monitor' ]
  indices:
    - names: [ 'events-*' ]
      privileges: [ 'read' ]
      field_security:
        grant: ['category', '@timestamp', 'message' ]
      query: '{"match": {"category": "click"}}'

Elasticsearch непрерывно отслеживает файл roles.yml и автоматически подхватывает и применяет любые изменения в нём.