Аутентификация Kerberos

Разверните Kerberos.

Вы должны иметь инфраструктуру Kerberos, настроенную в вашей среде.

Эти инструкции не охватывают настройку и конфигурацию вашей установки Kerberos. Где предоставляются примеры, они относятся к развертыванию MIT Kerberos V5. Для получения дополнительной информации см. документацию MIT Kerberos

Настройте Java GSS.

Elasticsearch использует поддержку Java GSS для аутентификации Kerberos. Для поддержки аутентификации Kerberos Elasticsearch требуется следующие файлы:

Требования к конфигурации зависят от вашей настройки Kerberos. Обратитесь к документации Kerberos для настройки файла krb5.conf.

Дополнительную информацию о Java GSS см. в требованиях Java GSS Kerberos

Включите TLS для HTTP.

Если ваш кластер Elasticsearch работает в режиме производства, вы должны настроить HTTP-интерфейс для использования SSL/TLS, прежде чем вы сможете включить аутентификацию Kerberos. Для получения дополнительной информации см. шифрование HTTP-обмена с клиентами для Elasticsearch.

Этот шаг необходим для поддержки аутентификации Kerberos через Kibana. Он не требуется для аутентификации Kerberos непосредственно к API Elasticsearch Rest.

Включите службу токенов

Реализация Kerberos Elasticsearch использует службу токенов Elasticsearch. Если вы настраиваете TLS на HTTP-интерфейсе, эта служба включается автоматически. Она может быть явно настроена путем добавления следующего параметра в ваш файл elasticsearch.yml:

xpack.security.authc.token.enabled: true

Этот шаг необходим для поддержки аутентификации Kerberos через Kibana. Он не требуется для аутентификации Kerberos непосредственно к API Elasticsearch Rest.

Настройте JVM для поиска файла конфигурации Kerberos.

Elasticsearch использует Java GSS и JAAS Krb5LoginModule для поддержки аутентификации Kerberos с использованием механизма Simple and Protected GSSAPI Negotiation Mechanism (SPNEGO). Файл конфигурации Kerberos (krb5.conf) предоставляет информацию, такую как стандартный домен, Центр распределения ключей (KDC) и другие данные конфигурации, необходимые для аутентификации Kerberos. Когда JVM нуждается в некоторых свойствах конфигурации, он пытается найти эти значения, найдя и загрузив этот файл. Система свойств JVM для настройки пути к файлу — java.security.krb5.conf. Чтобы настроить свойства системы JVM, см. Настройка параметров JVM. Если это системное свойство не указано, Java пытается найти файл, используя соглашения.

Дополнительную информацию см. в krb5.conf

Создайте ключ для узла Elasticsearch.

Keytab — это файл, хранящий пары принципалов и ключей шифрования. Elasticsearch использует ключи из keytab для расшифровки билетов, представленных пользователем. Вы должны создать keytab для Elasticsearch, используя инструменты, предоставляемые вашей реализацией Kerberos. Например, некоторые инструменты для создания keytab — это ktpass.exe в Windows и kadmin для MIT Kerberos.

Поместите файл keytab в директорию конфигурации Elasticsearch.

Убедитесь, что этот файл keytab имеет права чтения. Этот файл содержит учетные данные, поэтому вы должны принять соответствующие меры для его защиты.

Создайте Kerberos-домен.

Для включения аутентификации Kerberos в Elasticsearch, необходимо добавить Kerberos-домен в цепочке доменов.

Чтобы настроить Kerberos-домен, необходимо настроить несколько обязательных параметров домена и другие необязательные параметры в файле конфигурации elasticsearch.yml. Добавьте конфигурацию домена в пространство имен xpack.security.authc.realms.kerberos.

Наиболее распространенная конфигурация для Kerberos-домена выглядит следующим образом:

xpack.security.authc.realms.kerberos.kerb1:
  order: 3
  keytab.path: es.keytab
  remove_realm_name: false

username извлекается из билета, предоставленного пользователем, и обычно имеет формат username@REALM. Этот username используется для сопоставления ролей с пользователем. Если параметр домена remove_realm_name установлен в true, часть домена (@REALM) удаляется. Результирующий username используется для сопоставления ролей.

Для получения подробной информации о доступных параметрах домена см. Параметры Kerberos-домена.

Сопоставьте пользователей Kerberos с ролями.

Домен kerberos позволяет сопоставлять пользователей Kerberos с ролями. Вы можете настроить эти сопоставления ролей, используя API создания или обновления сопоставлений ролей. Вы определяете пользователей по полю username.

Следующий пример использует API сопоставления ролей для сопоставления user@REALM с ролями monitoring и user:

resp = client.security.put_role_mapping(
    name="kerbrolemapping",
    roles=[
        "monitoring_user"
    ],
    enabled=True,
    rules={
        "field": {
            "username": "user@REALM"
        }
    },
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "kerbrolemapping",
  roles: ["monitoring_user"],
  enabled: true,
  rules: {
    field: {
      username: "user@REALM",
    },
  },
});
console.log(response);

POST /_security/role_mapping/kerbrolemapping
{
  "roles" : [ "monitoring_user" ],
  "enabled": true,
  "rules" : {
    "field" : { "username" : "user@REALM" }
  }
}

Если вам необходимо поддерживать аутентификацию Kerberos между доменами, вам может потребоваться сопоставление ролей на основе имени домена Kerberos. В таких сценариях следующие дополнительные метаданные пользователей доступны для сопоставления ролей: - kerberos_realm будет установлено в имя домена Kerberos. - kerberos_user_principal_name будет установлено в имя принципала пользователя из билета Kerberos.

Для получения дополнительной информации см. Сопоставление пользователей и групп с ролями.