Сопоставление пользователей и групп с ролями

Вы можете определить сопоставления ролей с помощью API добавления сопоставления ролей.

Чтобы использовать сопоставления ролей на основе файлов, вы должны настроить сопоставления в файле YAML и скопировать его на каждый узел кластера. Инструменты, такие как Puppet или Chef, могут помочь с этим.

По умолчанию сопоставления ролей хранятся в ES_PATH_CONF/role_mapping.yml, где ES_PATH_CONF является ES_HOME/config (установки zip/tar) или /etc/elasticsearch (установки пакетов). Чтобы указать другое расположение, вы настраиваете параметр files.role_mapping в настройках Active Directory, LDAP и PKI в elasticsearch.yml.

В файле сопоставления ролей роли безопасности являются ключами, а группы и пользователи — значениями. Сопоставления могут иметь взаимосвязь «многие ко многим». Когда вы сопоставляете роли с группами, роли пользователя в этой группе — это комбинация ролей, назначенных этой группе, и ролей, назначенных этому пользователю.

По умолчанию Elasticsearch проверяет файлы сопоставления ролей на наличие изменений каждые 5 секунд. Вы можете изменить это поведение по умолчанию, изменив параметр resource.reload.interval.high в файле elasticsearch.yml. Поскольку это общий параметр в Elasticsearch, изменение его значения может повлиять на другие расписания в системе.

Хотя API сопоставления ролей является предпочтительным способом управления сопоставлениями ролей, использование файла role_mapping.yml становится полезным в нескольких случаях:

Однако обратите внимание, что файл role_mapping.yml предоставляется как минимальная функция администрирования и не предназначен для покрытия и использования для определения ролей для всех случаев использования.

Для указания пользователей и групп в сопоставлениях ролей используются их отличительные имена (DN). DN — это строка, которая однозначно идентифицирует пользователя или группу, например "cn=John Doe,cn=contractors,dc=example,dc=com".

Например, следующий фрагмент использует метод на основе файла для сопоставления группы admins с ролью monitoring и сопоставления пользователя John Doe, группы users и группы admins с ролью user.

monitoring: 
  - "cn=admins,dc=example,dc=com" 
user:
  - "cn=John Doe,cn=contractors,dc=example,dc=com" 
  - "cn=users,dc=example,dc=com"
  - "cn=admins,dc=example,dc=com"

Вы можете использовать API сопоставления ролей для определения эквивалентных сопоставлений следующим образом:

PUT /_security/role_mapping/admins
{
  "roles" : [ "monitoring", "user" ],
  "rules" : { "field" : { "groups" : "cn=admins,dc=example,dc=com" } },
  "enabled": true
}

PUT /_security/role_mapping/basic_users
{
  "roles" : [ "user" ],
  "rules" : { "any" : [
      { "field" : { "dn" : "cn=John Doe,cn=contractors,dc=example,dc=com" } },
      { "field" : { "groups" : "cn=users,dc=example,dc=com" } }
  ] },
  "enabled": true
}

Реали PKI поддерживают сопоставление пользователей с ролями, но вы не можете сопоставлять группы, так как реали PKI не имеет понятия о группе.

Вот пример использования сопоставления на основе файла:

monitoring:
  - "cn=Admin,ou=example,o=com"
user:
  - "cn=John Doe,ou=example,o=com"

Следующий пример создает эквивалентные сопоставления с помощью API:

PUT /_security/role_mapping/admin_user
{
  "roles" : [ "monitoring" ],
  "rules" : { "field" : { "dn" : "cn=Admin,ou=example,o=com" } },
  "enabled": true
}

PUT /_security/role_mapping/basic_user
{
  "roles" : [ "user" ],
  "rules" : { "field" : { "dn" : "cn=John Doe,ou=example,o=com" } },
  "enabled": true
}