Безопасность на уровне полей

Безопасность на уровне полей ограничивает поля, к которым пользователи имеют доступ для чтения. В частности, она ограничивает доступ к полям из документов API для чтения.

Для включения безопасности на уровне полей укажите поля, к которым каждый роль может получить доступ в рамках разрешений индексов в определении роли. Таким образом, безопасность на уровне полей привязана к определенному набору потоков данных или индексов (и потенциально набору документов).

Следующее определение роли предоставляет доступ для чтения только к полям category, @timestamp и message во всех потоках данных и индексах events-*.

POST /_security/role/test_role1
{
  "indices": [
    {
      "names": [ "events-*" ],
      "privileges": [ "read" ],
      "field_security" : {
        "grant" : [ "category", "@timestamp", "message" ]
      }
    }
  ]
}

Доступ к следующим метаданным полям всегда разрешен: _id, _type, _parent, _routing, _timestamp, _ttl, _size и _index. Если вы укажете пустой список полей, доступны только эти метаданные.

Вы также можете указать выражения для полей. Например, следующий пример предоставляет доступ для чтения ко всем полям, которые начинаются с префикса event_:

POST /_security/role/test_role2
{
  "indices" : [
    {
      "names" : [ "*" ],
      "privileges" : [ "read" ],
      "field_security" : {
        "grant" : [ "event_*" ]
      }
    }
  ]
}

Используйте обозначение точек, чтобы ссылаться на вложенные поля в более сложных документах. Например, предположим следующий документ:

{
  "customer": {
    "handle": "Jim",
    "email": "jim@mycompany.com",
    "phone": "555-555-5555"
  }
}

Следующее определение роли разрешает только чтение поля handle клиента:

POST /_security/role/test_role3
{
  "indices" : [
    {
      "names" : [ "*" ],
      "privileges" : [ "read" ],
      "field_security" : {
        "grant" : [ "customer.handle" ]
      }
    }
  ]
}

Здесь поддержка подстановочных знаков проявляется во всей красе. Например, используйте customer.*, чтобы разрешить только чтение данных customer:

POST /_security/role/test_role4
{
  "indices" : [
    {
      "names" : [ "*" ],
      "privileges" : [ "read" ],
      "field_security" : {
        "grant" : [ "customer.*" ]
      }
    }
  ]
}

Вы можете запретить доступ к полям с помощью следующего синтаксиса:

POST /_security/role/test_role5
{
  "indices" : [
    {
      "names" : [ "*" ],
      "privileges" : [ "read" ],
      "field_security" : {
        "grant" : [ "*"],
        "except": [ "customer.handle" ]
      }
    }
  ]
}

Применяются следующие правила:

Например:

POST /_security/role/test_role6
{
  "indices" : [
    {
      "names" : [ "*" ],
      "privileges" : [ "read" ],
      "field_security" : {
        "except": [ "customer.handle" ],
        "grant" : [ "customer.*" ]
      }
    }
  ]
}

В приведенном выше примере пользователи могут читать все поля с префиксом «customer.» за исключением «customer.handle».

Пустой массив для grant (например, "grant" : []) означает, что доступ к каким-либо полям не предоставлен.

Когда у пользователя есть несколько ролей, которые указывают разрешения на уровне полей, полученные разрешения на уровне полей для каждого потока данных или индекса являются объединением индивидуальных разрешений ролей. Например, если эти две роли объединены:

POST /_security/role/test_role7
{
  "indices" : [
    {
      "names" : [ "*" ],
      "privileges" : [ "read" ],
      "field_security" : {
        "grant": [ "a.*" ],
        "except" : [ "a.b*" ]
      }
    }
  ]
}

POST /_security/role/test_role8
{
  "indices" : [
    {
      "names" : [ "*" ],
      "privileges" : [ "read" ],
      "field_security" : {
        "grant": [ "a.b*" ],
        "except" : [ "a.b.c*" ]
      }
    }
  ]
}

Полученное разрешение равно:

{
  // role 1 + role 2
  ...
  "indices" : [
    {
      "names" : [ "*" ],
      "privileges" : [ "read" ],
      "field_security" : {
        "grant": [ "a.*" ],
        "except" : [ "a.b.c*" ]
      }
    }
  ]
}

Для получения дополнительной информации см. Настройка безопасности на уровне полей и документов.