Аутентификация пользователей Active Directory

Добавьте конфигурацию домена типа active_directory в elasticsearch.yml в пространстве имен xpack.security.authc.realms.active_directory. Как минимум, необходимо указать адрес Active Directory domain_name и order.

См. Настройки домена Active Directory для просмотра всех доступных параметров для домена active_directory.

Например, следующая конфигурация домена настраивает Elasticsearch для подключения к ldaps://example.com:636 для аутентификации пользователей через Active Directory:

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0 
            domain_name: ad.example.com
            url: ldaps://ad.example.com:636 

Если вы аутентифицируете пользователей в нескольких доменах в лесу, потребуются дополнительные шаги. Есть несколько незначительных различий в конфигурации и способе аутентификации пользователей.

Установите параметр domain_name в корневое имя домена леса.

Также необходимо установить параметр url, так как аутентификация должна выполняться через глобальный каталог, который использует другой порт и может не работать на каждом контроллере домена.

Например, следующая конфигурация домена настраивает Elasticsearch для подключения к определенным контроллерам домена на порту глобального каталога с именем домена, установленным в корневой домен леса:

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0
            domain_name: example.com 
            url: ldaps://dc1.ad.example.com:3269, ldaps://dc2.ad.example.com:3269 
            load_balance:
              type: "round_robin" 

В этой конфигурации пользователям необходимо использовать полное имя принципала пользователя (UPN) или имя входа предыдущего уровня. UPN обычно представляет собой объединение имени пользователя и @<DOMAIN_NAME, например, johndoe@ad.example.com. Имя входа предыдущего уровня — это имя NetBIOS домена, за которым следует \ и имя пользователя, например, AD\johndoe. Использование имени входа предыдущего уровня требует подключения к обычным портам LDAP (389 или 636) для запроса конфигурационного контейнера для извлечения имени домена из имени NetBIOS.

(Необязательно) Настройте взаимодействие Elasticsearch с несколькими серверами Active Directory.

Параметр load_balance.type может использоваться на уровне домена. Поддерживаются два режима работы: резервирование и балансировка нагрузки. См. Настройки домена Active Directory.

(Необязательно) Настройте пользователя для привязки.

Домен Active Directory аутентифицирует пользователей с помощью запроса привязки LDAP. По умолчанию все операции LDAP выполняются пользователем, которым Elasticsearch выполняет аутентификацию. В некоторых случаях обычные пользователи могут не иметь доступа ко всем необходимым элементам в Active Directory, и требуется пользователь для привязки. Пользователь для привязки может быть настроен и используется для выполнения всех операций, кроме запроса привязки LDAP, который необходим для аутентификации предоставленных пользователем учетных данных.

Использование пользователя для привязки позволяет использовать функцию выполнения от имени других пользователей с доменом Active Directory и возможность поддержания набора пулов подключений к Active Directory. Эти пулы подключений уменьшают количество ресурсов, которые необходимо создавать и удалять при каждой аутентификации пользователя.

В следующем примере показана настройка пользователя для привязки с помощью параметров bind_dn и secure_bind_password:

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0
            domain_name: ad.example.com
            url: ldaps://ad.example.com:636
            bind_dn: es_svc_user@ad.example.com 

Пароль для пользователя bind_dn должен быть настроен путем добавления соответствующего параметра secure_bind_password в хранилище ключей Elasticsearch. Например, следующая команда добавляет пароль для примера домена выше:

bin/elasticsearch-keystore add  \
xpack.security.authc.realms.active_directory.my_ad.secure_bind_password

При настройке пользователя для привязки пулы подключений включены по умолчанию. Пулы подключений можно отключить с помощью параметра user_search.pool.enabled.

Сопоставьте пользователей и группы Active Directory с ролями.

Неотъемлемой частью процесса аутентификации по домену является определение ролей, связанных с аутентифицированным пользователем. Роли определяют привилегии пользователя в кластере.

Поскольку с доменом active_directory пользователи управляются внешним образом на сервере Active Directory, ожидается, что их роли также управляются там. Фактически, Active Directory поддерживает понятие групп, которые часто представляют роли пользователей для различных систем в организации.

Домен active_directory позволяет сопоставлять пользователей Active Directory с ролями через их группы Active Directory или другую метаданные. Это сопоставление ролей можно настроить с помощью API сопоставления ролей или с помощью файла, хранящегося на каждом узле. При аутентификации пользователя по домену Active Directory привилегии этого пользователя являются объединением всех привилегий, определенных ролями, к которым пользователь сопоставлен.

В определении сопоставления вы указываете группы, используя их полные имена. Например, следующая конфигурация сопоставления сопоставляет группу Active Directory admins с ролями monitoring и user, группу users с ролью user и пользователя John Doe с ролью user.

Настройка через API сопоставления ролей:

resp = client.security.put_role_mapping(
    name="admins",
    roles=[
        "monitoring",
        "user"
    ],
    rules={
        "field": {
            "groups": "cn=admins,dc=example,dc=com"
        }
    },
    enabled=True,
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "admins",
  roles: ["monitoring", "user"],
  rules: {
    field: {
      groups: "cn=admins,dc=example,dc=com",
    },
  },
  enabled: true,
});
console.log(response);

PUT /_security/role_mapping/admins
{
  "roles" : [ "monitoring" , "user" ],
  "rules" : { "field" : {
    "groups" : "cn=admins,dc=example,dc=com" 
  } },
  "enabled": true
}

resp = client.security.put_role_mapping(
    name="basic_users",
    roles=[
        "user"
    ],
    rules={
        "any": [
            {
                "field": {
                    "groups": "cn=users,dc=example,dc=com"
                }
            },
            {
                "field": {
                    "dn": "cn=John Doe,cn=contractors,dc=example,dc=com"
                }
            }
        ]
    },
    enabled=True,
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "basic_users",
  roles: ["user"],
  rules: {
    any: [
      {
        field: {
          groups: "cn=users,dc=example,dc=com",
        },
      },
      {
        field: {
          dn: "cn=John Doe,cn=contractors,dc=example,dc=com",
        },
      },
    ],
  },
  enabled: true,
});
console.log(response);

PUT /_security/role_mapping/basic_users
{
  "roles" : [ "user" ],
  "rules" : { "any": [
    { "field" : {
      "groups" : "cn=users,dc=example,dc=com" 
    } },
    { "field" : {
      "dn" : "cn=John Doe,cn=contractors,dc=example,dc=com" 
    } }
  ] },
  "enabled": true
}

Или, альтернативно, настройка через файл сопоставления ролей:

monitoring: 
  - "cn=admins,dc=example,dc=com" 
user:
  - "cn=users,dc=example,dc=com" 
  - "cn=admins,dc=example,dc=com"
  - "cn=John Doe,cn=contractors,dc=example,dc=com" 

Для получения дополнительной информации см. Сопоставление пользователей и групп с ролями.

(Необязательно) Настройте параметр metadata в домене Active Directory для включения дополнительных свойств в метаданные пользователя.

По умолчанию ldap_dn и ldap_groups заполняются в метаданных пользователя. Для получения дополнительной информации см. Метаданные пользователя в доменах Active Directory.