Настройка привилегий оператора

Для использования функции привилегий оператора, её необходимо явно включить на каждом узле кластера. Добавьте следующее значение в каждый файл elasticsearch.yml:

xpack.security.operator_privileges.enabled: true

Если узел уже запущен до внесения этого изменения, необходимо перезапустить узел, чтобы функция вступила в силу.

При включении привилегий оператора в кластере, конкретные функции ограничены и могут быть выполнены только пользователями, явно назначенными как пользователи-операторы. Если обычный пользователь попытается выполнить эти функции (даже если у него есть роль superuser), произойдёт исключение безопасности.

Пользователи-операторы — это обычные пользователи Elasticsearch со специальными правами для выполнения функций, доступных только операторам. Они указываются в файле operator_users.yml, который находится в каталоге конфигурации (как определено переменной среды ES_PATH_CONF). Аналогично другим файлам конфигурации безопасности, файл operator_users.yml локален для узла и не применяется глобально для всего кластера. Это означает, что в большинстве случаев один и тот же файл необходимо распределить или скопировать на все узлы кластера.

Файл operator_users.yml определяет набор критериев, которым должен соответствовать аутентифицированный пользователь, чтобы считаться пользователем-оператором. Следующий фрагмент кода демонстрирует пример такого файла:

operator: 
  - usernames: ["system_agent_1","system_agent_2"] 
    realm_type: "file" 
    auth_type: "realm" 

Вы должны указать как минимум поле usernames. Если другие поля не указаны, используются значения по умолчанию. Все поля должны совпадать, чтобы пользователь считался пользователем-оператором. Вы также можете указать несколько наборов критериев. В настоящее время это не очень полезно, так как данная функция пока не поддерживает другие домены или типы аутентификации.

Также существуют два неявных правила, которые влияют на то, какие пользователи являются пользователями-операторами: