Добавление удаленных кластеров с аутентификацией по сертификатам TLS

Пользователь кросс-кластерной репликации требует разных привилегий кластера и индекса на удалённом и локальном кластерах. Используйте следующие запросы для создания отдельных ролей на локальном и удалённом кластерах, а затем создайте пользователя с необходимыми ролями.

На удалённом кластере, содержащем лидирующий индекс, роль кросс-кластерной репликации требует привилегию read_ccr кластера и привилегии monitor и read на лидирующем индексе.

Следующий запрос создаёт роль remote-replication на удалённом кластере:

resp = client.security.put_role(
    name="remote-replication",
    cluster=[
        "read_ccr"
    ],
    indices=[
        {
            "names": [
                "leader-index-name"
            ],
            "privileges": [
                "monitor",
                "read"
            ]
        }
    ],
)
print(resp)

const response = await client.security.putRole({
  name: "remote-replication",
  cluster: ["read_ccr"],
  indices: [
    {
      names: ["leader-index-name"],
      privileges: ["monitor", "read"],
    },
  ],
});
console.log(response);

POST /_security/role/remote-replication
{
  "cluster": [
    "read_ccr"
  ],
  "indices": [
    {
      "names": [
        "leader-index-name"
      ],
      "privileges": [
        "monitor",
        "read"
      ]
    }
  ]
}

На локальном кластере, содержащем ведомый индекс, роль remote-replication требует привилегию manage_ccr кластера и привилегии monitor, read, write и manage_follow_index на ведомом индексе.

Следующий запрос создаёт роль remote-replication на локальном кластере:

resp = client.security.put_role(
    name="remote-replication",
    cluster=[
        "manage_ccr"
    ],
    indices=[
        {
            "names": [
                "follower-index-name"
            ],
            "privileges": [
                "monitor",
                "read",
                "write",
                "manage_follow_index"
            ]
        }
    ],
)
print(resp)

const response = await client.security.putRole({
  name: "remote-replication",
  cluster: ["manage_ccr"],
  indices: [
    {
      names: ["follower-index-name"],
      privileges: ["monitor", "read", "write", "manage_follow_index"],
    },
  ],
});
console.log(response);

POST /_security/role/remote-replication
{
  "cluster": [
    "manage_ccr"
  ],
  "indices": [
    {
      "names": [
        "follower-index-name"
      ],
      "privileges": [
        "monitor",
        "read",
        "write",
        "manage_follow_index"
      ]
    }
  ]
}

После создания роли remote-replication на каждом кластере, используйте API для создания или обновления пользователей, чтобы создать пользователя на локальном кластере и назначить роль remote-replication. Например, следующий запрос назначает роль remote-replication пользователю с именем cross-cluster-user:

resp = client.security.put_user(
    username="cross-cluster-user",
    password="l0ng-r4nd0m-p@ssw0rd",
    roles=[
        "remote-replication"
    ],
)
print(resp)

const response = await client.security.putUser({
  username: "cross-cluster-user",
  password: "l0ng-r4nd0m-p@ssw0rd",
  roles: ["remote-replication"],
});
console.log(response);

POST /_security/user/cross-cluster-user
{
  "password" : "l0ng-r4nd0m-p@ssw0rd",
  "roles" : [ "remote-replication" ]
}

Затем вы можете настроить кросс-кластерную репликацию для репликации данных между центрами обработки данных.

Пользователь кросс-кластерного поиска требует разные привилегии кластера и индекса на удалённом и локальном кластерах. Следующие запросы создают отдельные роли на локальном и удалённом кластерах, а затем создают пользователя с необходимыми ролями.

На удалённом кластере роль кросс-кластерного поиска требует привилегии read и read_cross_cluster для целевых индексов.

Следующий запрос создаёт роль remote-search на удалённом кластере:

resp = client.security.put_role(
    name="remote-search",
    indices=[
        {
            "names": [
                "target-indices"
            ],
            "privileges": [
                "read",
                "read_cross_cluster"
            ]
        }
    ],
)
print(resp)

const response = await client.security.putRole({
  name: "remote-search",
  indices: [
    {
      names: ["target-indices"],
      privileges: ["read", "read_cross_cluster"],
    },
  ],
});
console.log(response);

POST /_security/role/remote-search
{
  "indices": [
    {
      "names": [
        "target-indices"
      ],
      "privileges": [
        "read",
        "read_cross_cluster"
      ]
    }
  ]
}

На локальном кластере, который используется для инициирования кросс-кластерного поиска, пользователю нужна только роль remote-search. Привилегии роли могут быть пустыми.

Следующий запрос создаёт роль remote-search на локальном кластере:

resp = client.security.put_role(
    name="remote-search",
)
print(resp)

const response = await client.security.putRole({
  name: "remote-search",
});
console.log(response);

POST /_security/role/remote-search
{}

После создания роли remote-search на каждом кластере, используйте API для создания или обновления пользователей, чтобы создать пользователя на локальном кластере и назначить роль remote-search. Например, следующий запрос назначает роль remote-search пользователю с именем cross-search-user:

resp = client.security.put_user(
    username="cross-search-user",
    password="l0ng-r4nd0m-p@ssw0rd",
    roles=[
        "remote-search"
    ],
)
print(resp)

const response = await client.security.putUser({
  username: "cross-search-user",
  password: "l0ng-r4nd0m-p@ssw0rd",
  roles: ["remote-search"],
});
console.log(response);

POST /_security/user/cross-search-user
{
  "password" : "l0ng-r4nd0m-p@ssw0rd",
  "roles" : [ "remote-search" ]
}

Пользователи с ролью remote-search могут затем выполнять поиск по нескольким кластерам.

При использовании Kibana для поиска в нескольких кластерах процесс авторизации происходит в два этапа, определяющих возможность доступа пользователя к потокам данных и индексам удаленного кластера:

Для предоставления пользователям Kibana доступа к удаленным кластерам назначьте им локальную роль с правами чтения на индексы в удаленных кластерах. Потоки данных и индексы в удаленном кластере указываются в виде <remote_cluster_name>:<target>.

Для предоставления пользователям прав на чтение удаленных потоков данных и индексов необходимо создать соответствующую роль в удаленных кластерах, предоставляющую read_cross_cluster право доступа к нужным потокам данных и индексам.

Например, вы можете активно индексировать данные Logstash в локальном кластере и периодически перемещать более старые индексы на основе времени в архив на удаленном кластере. Для поиска по обоим кластерам необходимо включить пользователей Kibana в обоих кластерах.

В локальном кластере создайте роль logstash-reader, которая предоставляет read и view_index_metadata права на локальные индексы logstash-*.

resp = client.security.put_role(
    name="logstash-reader",
    indices=[
        {
            "names": [
                "logstash-*"
            ],
            "privileges": [
                "read",
                "view_index_metadata"
            ]
        }
    ],
)
print(resp)

const response = await client.security.putRole({
  name: "logstash-reader",
  indices: [
    {
      names: ["logstash-*"],
      privileges: ["read", "view_index_metadata"],
    },
  ],
});
console.log(response);

POST /_security/role/logstash-reader
{
  "indices": [
    {
      "names": [
        "logstash-*"
        ],
        "privileges": [
          "read",
          "view_index_metadata"
          ]
    }
  ]
}

Назначьте пользователям Kibana роль, предоставляющую доступ к Kibana, а также вашу роль logstash_reader. Например, следующий запрос создает пользователя cross-cluster-kibana и назначает роли kibana-access и logstash-reader.

resp = client.security.put_user(
    username="cross-cluster-kibana",
    password="l0ng-r4nd0m-p@ssw0rd",
    roles=[
        "logstash-reader",
        "kibana-access"
    ],
)
print(resp)

const response = await client.security.putUser({
  username: "cross-cluster-kibana",
  password: "l0ng-r4nd0m-p@ssw0rd",
  roles: ["logstash-reader", "kibana-access"],
});
console.log(response);

PUT /_security/user/cross-cluster-kibana
{
  "password" : "l0ng-r4nd0m-p@ssw0rd",
  "roles" : [
    "logstash-reader",
    "kibana-access"
    ]
}

В удаленном кластере создайте роль logstash-reader, которая предоставляет право read_cross_cluster, а также права read и view_index_metadata для индексов logstash-*.

resp = client.security.put_role(
    name="logstash-reader",
    indices=[
        {
            "names": [
                "logstash-*"
            ],
            "privileges": [
                "read_cross_cluster",
                "read",
                "view_index_metadata"
            ]
        }
    ],
)
print(resp)

const response = await client.security.putRole({
  name: "logstash-reader",
  indices: [
    {
      names: ["logstash-*"],
      privileges: ["read_cross_cluster", "read", "view_index_metadata"],
    },
  ],
});
console.log(response);

POST /_security/role/logstash-reader
{
  "indices": [
    {
      "names": [
        "logstash-*"
        ],
        "privileges": [
          "read_cross_cluster",
          "read",
          "view_index_metadata"
          ]
    }
  ]
}