Сопоставление пользователей и групп с ролями

Сопоставления ролей можно определить с помощью API добавления сопоставления ролей.

Для использования сопоставлений ролей на основе файлов необходимо настроить сопоставления в файле YAML и скопировать его на каждый узел кластера. Для этого могут пригодиться инструменты, такие как Puppet или Chef.

По умолчанию файлы сопоставления ролей хранятся в ES_PATH_CONF/role_mapping.yml, где ES_PATH_CONF — это ES_HOME/config (установки zip/tar) или /etc/elasticsearch (установки пакетов). Чтобы указать другое расположение, необходимо настроить параметр files.role_mapping в настройках домена Active Directory, LDAP и PKI в elasticsearch.yml.

В файле сопоставления ролей роли безопасности являются ключами, а группы и пользователи — значениями. Сопоставления могут иметь отношение «многие ко многим». При сопоставлении ролей с группами роли пользователя в этой группе представляют собой комбинацию ролей, назначенных группе, и ролей, назначенных пользователю.

По умолчанию Elasticsearch проверяет файлы сопоставления ролей на наличие изменений каждые 5 секунд. Это поведение можно изменить, изменив параметр resource.reload.interval.high в файле elasticsearch.yml. Поскольку этот параметр является общим для Elasticsearch, изменение его значения может повлиять на другие расписания в системе.

Хотя API сопоставления ролей является предпочтительным способом управления сопоставлениями ролей, использование файла role_mapping.yml становится полезным в нескольких случаях:

Однако следует отметить, что файл role_mapping.yml предоставляется как минимальная административная функция и не предназначен для определения ролей во всех возможных случаях.

Для указания пользователей и групп в сопоставлениях ролей используются их уникальные имена (DN). DN — это строка, которая однозначно идентифицирует пользователя или группу, например "cn=John Doe,cn=contractors,dc=example,dc=com".

Например, в следующем фрагменте используется метод на основе файлов для сопоставления группы admins с ролью monitoring и сопоставления пользователя John Doe, группы users и группы admins с ролью user.

monitoring: 
  - "cn=admins,dc=example,dc=com" 
user:
  - "cn=John Doe,cn=contractors,dc=example,dc=com" 
  - "cn=users,dc=example,dc=com"
  - "cn=admins,dc=example,dc=com"

Вы можете использовать API сопоставления ролей для определения эквивалентных сопоставлений следующим образом:

resp = client.security.put_role_mapping(
    name="admins",
    roles=[
        "monitoring",
        "user"
    ],
    rules={
        "field": {
            "groups": "cn=admins,dc=example,dc=com"
        }
    },
    enabled=True,
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "admins",
  roles: ["monitoring", "user"],
  rules: {
    field: {
      groups: "cn=admins,dc=example,dc=com",
    },
  },
  enabled: true,
});
console.log(response);

PUT /_security/role_mapping/admins
{
  "roles" : [ "monitoring", "user" ],
  "rules" : { "field" : { "groups" : "cn=admins,dc=example,dc=com" } },
  "enabled": true
}

resp = client.security.put_role_mapping(
    name="basic_users",
    roles=[
        "user"
    ],
    rules={
        "any": [
            {
                "field": {
                    "dn": "cn=John Doe,cn=contractors,dc=example,dc=com"
                }
            },
            {
                "field": {
                    "groups": "cn=users,dc=example,dc=com"
                }
            }
        ]
    },
    enabled=True,
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "basic_users",
  roles: ["user"],
  rules: {
    any: [
      {
        field: {
          dn: "cn=John Doe,cn=contractors,dc=example,dc=com",
        },
      },
      {
        field: {
          groups: "cn=users,dc=example,dc=com",
        },
      },
    ],
  },
  enabled: true,
});
console.log(response);

PUT /_security/role_mapping/basic_users
{
  "roles" : [ "user" ],
  "rules" : { "any" : [
      { "field" : { "dn" : "cn=John Doe,cn=contractors,dc=example,dc=com" } },
      { "field" : { "groups" : "cn=users,dc=example,dc=com" } }
  ] },
  "enabled": true
}

Домены PKI поддерживают сопоставление пользователей с ролями, но сопоставление групп недоступно, поскольку в домене PKI нет понятия группы.

Вот пример использования сопоставления на основе файла:

monitoring:
  - "cn=Admin,ou=example,o=com"
user:
  - "cn=John Doe,ou=example,o=com"

Следующий пример создаёт эквивалентные сопоставления с помощью API:

resp = client.security.put_role_mapping(
    name="admin_user",
    roles=[
        "monitoring"
    ],
    rules={
        "field": {
            "dn": "cn=Admin,ou=example,o=com"
        }
    },
    enabled=True,
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "admin_user",
  roles: ["monitoring"],
  rules: {
    field: {
      dn: "cn=Admin,ou=example,o=com",
    },
  },
  enabled: true,
});
console.log(response);

PUT /_security/role_mapping/admin_user
{
  "roles" : [ "monitoring" ],
  "rules" : { "field" : { "dn" : "cn=Admin,ou=example,o=com" } },
  "enabled": true
}

resp = client.security.put_role_mapping(
    name="basic_user",
    roles=[
        "user"
    ],
    rules={
        "field": {
            "dn": "cn=John Doe,ou=example,o=com"
        }
    },
    enabled=True,
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "basic_user",
  roles: ["user"],
  rules: {
    field: {
      dn: "cn=John Doe,ou=example,o=com",
    },
  },
  enabled: true,
});
console.log(response);

PUT /_security/role_mapping/basic_user
{
  "roles" : [ "user" ],
  "rules" : { "field" : { "dn" : "cn=John Doe,ou=example,o=com" } },
  "enabled": true
}