Цепочки доверенных источников

Доверенные источники находятся внутри цепочки доверенных источников. По сути, это упорядоченный список настроенных доверенных источников (обычно различных типов). Доверенные источники проверяются в порядке возрастания (то есть, доверенный источник с наименьшим значением order проверяется первым). Необходимо убедиться, что каждый настроенный доверенный источник имеет уникальное значение настройки order. В случае, если два или более доверенных источника имеют одинаковое значение order, они обрабатываются в порядке name.

Во время процесса аутентификации, функции безопасности Elastic Stack консультируются и пытаются аутентифицировать запрос по одному доверенному источнику за раз. Как только один из доверенных источников успешно аутентифицирует запрос, аутентификация считается успешной. Аутентифицированный пользователь ассоциируется с запросом, который затем переходит к фазе авторизации. Если доверенный источник не может аутентифицировать запрос, проверяется следующий доверенный источник в цепочке. Если все доверенные источники в цепочке не могут аутентифицировать запрос, аутентификация считается неудачной, и возвращается ошибка аутентификации (в виде HTTP-кода состояния 401).

Цепочка доверенных источников по умолчанию содержит native и file доверенные источники. Для явного конфигурирования цепочки доверенных источников необходимо указать цепочку в файле elasticsearch.yml. При конфигурировании цепочки доверенных источников используются только указанные вами доверенные источники для аутентификации. Чтобы использовать native и file доверенные источники, их необходимо включить в цепочку.

Следующий фрагмент конфигурирует цепочку доверенных источников, которая включает в себя file и native доверенные источники, а также два доверенных источника LDAP и один доверенный источник Active Directory.

xpack.security.authc.realms:
  file.file1:
      order: 0

  native.native1:
      order: 1

  ldap.ldap1:
      order: 2
      enabled: false
      url: 'url_to_ldap1'
      ...

  ldap.ldap2:
      order: 3
      url: 'url_to_ldap2'
      ...

  active_directory.ad1:
      order: 4
      url: 'url_to_ad'

Как видно выше, каждый доверенный источник имеет уникальное имя, которое его идентифицирует. Каждый тип доверенного источника определяет свой собственный набор обязательных и необязательных настроек. Тем не менее, существуют настройки, общие для всех доверенных источников.