Цепочки доверенных источников

Доверенные источники существуют в цепочке доверенных источников. Это по сути упорядоченный список настроенных доверенных источников (часто различных типов). Доверенные источники проверяются в порядке возрастания (то есть, доверенный источник с наименьшим значением order проверяется первым). Необходимо убедиться, что каждый настроенный доверенный источник имеет уникальное значение параметра order. В случае, если два или более доверенных источника имеют одинаковое значение order, узел не сможет запуститься.

Во время процесса аутентификации компоненты безопасности Elastic Stack проверяют и пытаются аутентифицировать запрос по одному доверенному источнику за раз. Как только один из доверенных источников успешно аутентифицирует запрос, аутентификация считается успешной. Аутентифицированный пользователь ассоциируется с запросом, который затем переходит к фазе авторизации. Если доверенный источник не может аутентифицировать запрос, проверяется следующий доверенный источник в цепочке. Если ни один доверенный источник в цепочке не может аутентифицировать запрос, аутентификация считается неуспешной, и возвращается ошибка аутентификации (с кодом HTTP-статуса 401).

В стандартной цепочке доверенных источников содержатся file и native доверенные источники. Для явного настройки цепочки доверенных источников нужно указать её в файле elasticsearch.yml. Если ваша цепочка доверенных источников не содержит file или native доверенного источника или не отключила их явно, file и native доверенные источники будут автоматически добавлены в начало цепочки доверенных источников в указанном порядке. Чтобы отказаться от автоматического поведения, можно явно настроить file и native доверенные источники с параметрами order и enabled.

Следующий фрагмент настраивает цепочку доверенных источников, которая включает file доверенный источник, а также два доверенных источника LDAP и Active Directory, но отключает native доверенный источник.

xpack.security.authc.realms:
  file.file1:
      order: 0

  ldap.ldap1:
      order: 1
      enabled: false
      url: 'url_to_ldap1'
      ...

  ldap.ldap2:
      order: 2
      url: 'url_to_ldap2'
      ...

  active_directory.ad1:
      order: 3
      url: 'url_to_ad'

  native.native1:
      enabled: false

Как видно выше, каждый доверенный источник имеет уникальное имя, которое его идентифицирует. Каждый тип доверенного источника определяет свой собственный набор обязательных и необязательных параметров. При этом существуют параметры, общие для всех доверенных источников.