Аутентификация Kerberos

Разверните Kerberos.

Вам необходимо настроить инфраструктуру Kerberos в вашей среде.

Данные инструкции не охватывают настройку и конфигурацию развертывания Kerberos. Где предоставляются примеры, они относятся к развертыванию MIT Kerberos V5. Для получения дополнительной информации см. документацию MIT Kerberos.

Настройте Java GSS.

Elasticsearch использует поддержку Java GSS-фреймворка для аутентификации Kerberos. Для поддержки аутентификации Kerberos Elasticsearch нуждается в следующих файлах:

Требования к конфигурации зависят от вашей настройки Kerberos. Обратитесь к документации Kerberos для настройки файла krb5.conf.

Для получения дополнительной информации о Java GSS, см. требования Java GSS для Kerberos

Включите TLS для HTTP.

Если ваш кластер Elasticsearch работает в режиме производства, вы должны настроить HTTP-интерфейс для использования SSL/TLS, прежде чем вы сможете включить аутентификацию Kerberos. Для получения дополнительной информации см. Защитить HTTP-клиентские коммуникации для Elasticsearch.

Этот шаг необходим для поддержки аутентификации Kerberos через Kibana. Он не требуется для аутентификации Kerberos непосредственно по отношению к REST API Elasticsearch.

Включите службу токенов

Реализация Kerberos Elasticsearch использует службу токенов Elasticsearch. Если вы настраиваете TLS на HTTP-интерфейсе, эта служба автоматически включается. Ее можно явно настроить, добавив следующие настройки в файл elasticsearch.yml:

xpack.security.authc.token.enabled: true

Этот шаг необходим для поддержки аутентификации Kerberos через Kibana. Он не требуется для аутентификации Kerberos непосредственно по отношению к REST API Elasticsearch.

Настройте JVM для поиска файла конфигурации Kerberos.

Elasticsearch использует Java GSS и JAAS Krb5LoginModule для поддержки аутентификации Kerberos с использованием механизма простой и защищенной GSSAPI-переговоров (SPNEGO). Файл конфигурации Kerberos (krb5.conf) предоставляет информацию, такую как имя домена по умолчанию, центр распределения ключей (KDC) и другие сведения, необходимые для аутентификации Kerberos. Когда JVM нуждается в некоторых свойствах конфигурации, оно пытается найти эти значения, найдя и загрузив этот файл. Свойство системы JVM для настройки пути к файлу — java.security.krb5.conf. Для настройки свойств системы JVM см. Настройка параметров JVM. Если это свойство системы не указано, Java пытается найти файл в соответствии с соглашениями.

Для получения дополнительной информации см. krb5.conf

Создайте keytab для узла Elasticsearch.

Keytab — это файл, который хранит пары принципалов и шифровальных ключей. Elasticsearch использует ключи из keytab для расшифровки билетов, представленных пользователем. Вы должны создать keytab для Elasticsearch, используя инструменты, предоставляемые вашей реализацией Kerberos. Например, некоторые инструменты для создания keytab — это ktpass.exe в Windows и kadmin для MIT Kerberos.

Поместите файл keytab в каталог конфигурации Elasticsearch.

Убедитесь, что этот файл keytab имеет разрешения на чтение. Этот файл содержит учетные данные, поэтому вы должны принять надлежащие меры для защиты.

Создайте Kerberos-домен.

Для включения аутентификации Kerberos в Elasticsearch, вы должны добавить Kerberos-домен в цепочке доменов.

Для настройки Kerberos-домена вам необходимо настроить несколько обязательных параметров домена и другие необязательные параметры в файле конфигурации elasticsearch.yml. Добавьте конфигурацию домена в пространство имен xpack.security.authc.realms.kerberos.

Наиболее распространенная конфигурация Kerberos-домена следующая:

xpack.security.authc.realms.kerberos.kerb1:
  order: 3
  keytab.path: es.keytab
  remove_realm_name: false

username извлекается из билета, представленного пользователем, и обычно имеет формат username@REALM. Этот username используется для сопоставления ролей с пользователем. Если параметр домена remove_realm_name установлен в значение true, часть домена (@REALM) удаляется. Полученный username используется для сопоставления ролей.

Для получения подробной информации об доступных параметрах домена, см. Параметры Kerberos-домена.

Сопоставьте пользователей Kerberos с ролями.

Домен kerberos позволяет сопоставлять пользователей Kerberos с ролями. Вы можете настроить эти сопоставления ролей, используя API создания или обновления сопоставлений ролей. Пользователей можно идентифицировать по полю username.

В следующем примере используется API сопоставления ролей для сопоставления user@REALM с ролями monitoring и user:

POST /_security/role_mapping/kerbrolemapping
{
  "roles" : [ "monitoring_user" ],
  "enabled": true,
  "rules" : {
    "field" : { "username" : "user@REALM" }
  }
}

В случае, если вы хотите поддерживать аутентификацию Kerberos через разные домены, вам может потребоваться сопоставление ролей на основе имени домена Kerberos. Для таких случаев доступны дополнительные метаданные пользователя для сопоставления ролей: - kerberos_realm будет установлено в имя домена Kerberos. - kerberos_user_principal_name будет установлено в имя принципала пользователя из билета Kerberos.

Для получения дополнительной информации см. Сопоставление пользователей и групп с ролями.