API создания или обновления сопоставлений ролей

POST /_security/role_mapping/<name>

PUT /_security/role_mapping/<name>

Сопоставления ролей определяют, какие роли назначаются каждому пользователю. Каждое сопоставление имеет правила, определяющие пользователей, и список ролей, которые предоставляются этим пользователям.

API сопоставления ролей, как правило, предпочтительнее для управления сопоставлениями ролей, чем использование файлов сопоставления ролей файлов сопоставления ролей. API создания или обновления сопоставлений ролей не может обновить сопоставления ролей, определённые в файлах сопоставления ролей.

Дополнительную информацию см. в разделе Сопоставление пользователей и групп с ролями.

В теле запроса PUT или POST можно указать следующие параметры, относящиеся к добавлению сопоставления ролей:

В следующем примере роли "пользователь" назначаются всем пользователям:

POST /_security/role_mapping/mapping1
{
  "roles": [ "user"],
  "enabled": true, 
  "rules": {
    "field" : { "username" : "*" }
  },
  "metadata" : { 
    "version" : 1
  }
}

Успешный вызов возвращает JSON-структуру, которая показывает, была ли создана или обновлена запись.

{
  "role_mapping" : {
    "created" : true 
  }
}

В следующем примере роли "пользователь" и "администратор" назначаются конкретным пользователям:

POST /_security/role_mapping/mapping2
{
  "roles": [ "user", "admin" ],
  "enabled": true,
  "rules": {
     "field" : { "username" : [ "esadmin01", "esadmin02" ] }
  }
}

Следующий пример подбирает пользователей, авторизовавшихся в определённом домене:

POST /_security/role_mapping/mapping3
{
  "roles": [ "ldap-user" ],
  "enabled": true,
  "rules": {
    "field" : { "realm.name" : "ldap1" }
  }
}

Следующий пример подбирает любого пользователя, у которого либо имя пользователя равно esadmin, либо пользователь принадлежит к группе cn=admin,dc=example,dc=com:

POST /_security/role_mapping/mapping4
{
  "roles": [ "superuser" ],
  "enabled": true,
  "rules": {
    "any": [
      {
        "field": {
          "username": "esadmin"
        }
      },
      {
        "field": {
          "groups": "cn=admins,dc=example,dc=com"
        }
      }
    ]
  }
}

Приведённый выше пример полезен, когда имена групп в вашей системе управления идентификацией (например, Active Directory или SAML Identity Provider) не имеют взаимно однозначного соответствия с именами ролей в Elasticsearch. Сопоставление ролей служит связующим звеном между именем группы и именем роли.

Однако в редких случаях имена ваших групп могут точно совпадать с именами ролей Elasticsearch. Это может быть так, если ваш SAML Identity Provider имеет собственную функцию «сопоставления групп» и может быть настроен на предоставление имён ролей Elasticsearch в атрибутах пользователя SAML.

В этих случаях можно использовать шаблон, который рассматривает имена групп как имена ролей.

POST /_security/role_mapping/mapping5
{
  "role_templates": [
    {
      "template": { "source": "{{#tojson}}groups{{/tojson}}" }, 
      "format" : "json" 
    }
  ],
  "rules": {
    "field" : { "realm.name" : "saml1" }
  },
  "enabled": true
}

Следующий пример подбирает пользователей в определённом поддереве LDAP:

POST /_security/role_mapping/mapping6
{
  "roles": [ "example-user" ],
  "enabled": true,
  "rules": {
    "field" : { "dn" : "*,ou=subtree,dc=example,dc=com" }
  }
}

Следующий пример подбирает пользователей в определённом поддереве LDAP в определённом домене:

POST /_security/role_mapping/mapping7
{
  "roles": [ "ldap-example-user" ],
  "enabled": true,
  "rules": {
    "all": [
      { "field" : { "dn" : "*,ou=subtree,dc=example,dc=com" } },
      { "field" : { "realm.name" : "ldap1" } }
    ]
  }
}

Правила могут быть более сложными и включать подстановки. Например, следующее сопоставление соответствует любому пользователю, где все эти условия выполнены:

POST /_security/role_mapping/mapping8
{
  "roles": [ "superuser" ],
  "enabled": true,
  "rules": {
    "all": [
      {
        "any": [
          {
            "field": {
              "dn": "*,ou=admin,dc=example,dc=com"
            }
          },
          {
            "field": {
              "username": [ "es-admin", "es-system" ]
            }
          }
        ]
      },
      {
        "field": {
          "groups": "cn=people,dc=example,dc=com"
        }
      },
      {
        "except": {
          "field": {
            "metadata.terminated_date": null
          }
        }
      }
    ]
  }
}

Шаблонная роль может использоваться для автоматического сопоставления каждого пользователя с его собственной пользовательской ролью. Саму роль можно определить с помощью API ролей или с помощью пользовательского поставщика ролей.

В данном примере каждый пользователь, который авторизуется с помощью домена "cloud-saml", будет автоматически сопоставлен с двумя ролями — ролью "saml_user" и ролью, которая состоит из имени пользователя, опережаемого _user_. Например, пользователь nwong получит роли saml_user и _user_nwong.

POST /_security/role_mapping/mapping9
{
  "rules": { "field": { "realm.name": "cloud-saml" } },
  "role_templates": [
    { "template": { "source" : "saml_user" } }, 
    { "template": { "source" : "_user_{{username}}" } }
  ],
  "enabled": true
}