Настройка делегирования авторизации

Ниже приведен пример конфигурации домена LDAP, который может быть использован в качестве домена авторизации. Этот домен LDAP настроен в режиме поиска пользователей с указанным фильтром.

Дополнительную информацию о настройке доменов LDAP см. в статье об аутентификации пользователей LDAP.

xpack:
  security:
    authc:
      realms:
        ldap:
          ldap1:
            order: 0
            authentication.enabled: true 
            user_search:
              base_dn: "dc=example,dc=org"
              filter: "(cn={0})"
            group_search:
              base_dn: "dc=example,dc=org"
            files:
              role_mapping: "ES_PATH_CONF/role_mapping.yml"
            unmapped_groups_as_roles: false

Ниже приведен пример конфигурации, где домен Kerberos аутентифицирует пользователя, а затем делегирует авторизацию домену LDAP. Домен Kerberos аутентифицирует пользователя и извлекает имя принципала пользователя (обычно в формате user@REALM). В этом примере мы включаем настройку remove_realm_name, чтобы удалить часть @REALM из имени принципала пользователя, чтобы получить имя пользователя. Это имя пользователя используется для поиска пользователя с помощью настроенных доменов авторизации (в данном случае домена LDAP).

Дополнительную информацию о домене Kerberos см. в статье об аутентификации Kerberos.

xpack:
  security:
    authc:
      realms:
        kerberos:
          kerb1:
            order: 1
            keytab.path: "ES_PATH_CONF/es.keytab"
            remove_realm_name: true
            authorization_realms: ldap1

Аналогично, мы можем настроить домен PKI для делегирования авторизации домену LDAP. Пользователь аутентифицируется с помощью домена PKI, а авторизация делегируется домену LDAP. В этом примере имя пользователя — это общее имя (CN), извлеченное из DN сертификата клиента. Домен LDAP использует это имя пользователя для поиска пользователя и назначения роли.

Дополнительную информацию о доменах PKI см. в статье об аутентификации PKI.

xpack:
  security:
    authc:
      realms:
        pki:
          pki1:
            order: 2
            authorization_realms: ldap1

Аналогично вышеприведенным примерам, мы можем настроить домены для делегирования авторизации другим доменам авторизации (которые имеют возможность искать пользователей по имени пользователя и назначать роли).