Аутентификация пользователей LDAP

Определите, какой режим вы хотите использовать. Область ldap поддерживает два режима работы: поиск пользователей и режим со специфическими шаблонами для DN пользователей.

Поиск пользователей LDAP — это наиболее распространенный режим работы. В этом режиме используется конкретный пользователь с разрешением на поиск в каталоге LDAP для поиска DN аутентифицируемого пользователя на основе предоставленного имени пользователя и атрибута LDAP. После нахождения пользователь аутентифицируется путем попытки привязки к серверу LDAP с использованием найденного DN и предоставленного пароля.

Если ваша среда LDAP использует несколько специфических стандартных условий именования для пользователей, вы можете использовать шаблоны DN пользователей для настройки области. Преимущество этого метода заключается в том, что для поиска DN пользователя не требуется выполнение поиска. Однако для нахождения правильного DN пользователя может потребоваться несколько операций привязки.

Для настройки области ldap с поиском пользователей:

Для настройки области ldap с шаблонами DN пользователей:

(Необязательно) Настройте взаимодействие функций безопасности с несколькими серверами LDAP.

Параметр load_balance.type можно использовать на уровне области. Функции безопасности Elasticsearch поддерживают режимы работы с отказоустойчивостью и балансировкой нагрузки. См. Настройки области LDAP.

Сопоставьте группы LDAP с ролями.

Область ldap позволяет сопоставлять пользователей LDAP с ролями через их группы LDAP или другие метаданные. Это сопоставление ролей можно настроить с помощью API добавления сопоставлений ролей API или с помощью файла, хранящегося на каждом узле. При аутентификации пользователя с помощью LDAP привилегии этого пользователя являются объединением всех привилегий, определенных ролями, к которым сопоставлен пользователь.

В определении сопоставления вы указываете группы с использованием их отличительных имен. Например, следующая конфигурация сопоставления сопоставляет группу LDAP admins с ролями monitoring и user, а группу users с ролью user.

Настройка через API сопоставления ролей:

resp = client.security.put_role_mapping(
    name="admins",
    roles=[
        "monitoring",
        "user"
    ],
    rules={
        "field": {
            "groups": "cn=admins,dc=example,dc=com"
        }
    },
    enabled=True,
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "admins",
  roles: ["monitoring", "user"],
  rules: {
    field: {
      groups: "cn=admins,dc=example,dc=com",
    },
  },
  enabled: true,
});
console.log(response);

PUT /_security/role_mapping/admins
{
  "roles" : [ "monitoring" , "user" ],
  "rules" : { "field" : {
    "groups" : "cn=admins,dc=example,dc=com" 
  } },
  "enabled": true
}

resp = client.security.put_role_mapping(
    name="basic_users",
    roles=[
        "user"
    ],
    rules={
        "field": {
            "groups": "cn=users,dc=example,dc=com"
        }
    },
    enabled=True,
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "basic_users",
  roles: ["user"],
  rules: {
    field: {
      groups: "cn=users,dc=example,dc=com",
    },
  },
  enabled: true,
});
console.log(response);

PUT /_security/role_mapping/basic_users
{
  "roles" : [ "user" ],
  "rules" : { "field" : {
    "groups" : "cn=users,dc=example,dc=com" 
  } },
  "enabled": true
}

Или же, альтернативно, настройка через файл сопоставления ролей:

monitoring: 
  - "cn=admins,dc=example,dc=com" 
user:
  - "cn=users,dc=example,dc=com" 
  - "cn=admins,dc=example,dc=com"

Для получения дополнительной информации см. Сопоставление групп LDAP с ролями и Сопоставление пользователей и групп с ролями.

(Необязательно) Настройте параметр metadata в области LDAP для включения дополнительных полей в метаданные пользователя.

По умолчанию в метаданные пользователя заполняются ldap_dn и ldap_groups. Для получения дополнительной информации см. Метаданные пользователя в областях LDAP.

В приведенном ниже примере общее имя пользователя (cn) включается как дополнительное поле в их метаданные.

xpack:
  security:
    authc:
      realms:
        ldap:
          ldap1:
            order: 0
            metadata: cn