API получения токена

POST /_security/oauth2/token

Токены создаются службой токенов Elasticsearch, которая автоматически включается при настройке TLS для HTTP-интерфейса. См. Зашифруйте HTTP-взаимодействия клиента с Elasticsearch. Кроме того, вы можете явно включить настройку xpack.security.authc.token.enabled. При работе в режиме производства проверка запуска предотвращает включение службы токенов, если вы не включили TLS для HTTP-интерфейса.

API получения токена принимает те же параметры, что и типичный API токенов OAuth 2.0, за исключением использования тела запроса в формате JSON.

Успешный вызов API получения токена возвращает JSON-структуру, содержащую токен доступа, время (в секундах) до истечения срока действия токена, тип и область, если она доступна.

Токены, возвращаемые API получения токена, имеют ограниченный срок действия, и после этого срока они больше не могут использоваться. Этот период времени определяется настройкой xpack.security.authc.token.timeout. Дополнительные сведения см. в Настройки службы токенов.

Если вы хотите немедленно аннулировать токен, вы можете сделать это, используя API аннулирования токена.

В теле запроса POST можно указать следующие параметры, относящиеся к созданию токена:

В следующем примере получается токен, используя тип гранта client_credentials, который просто создаёт токен как аутентифицированный пользователь:

resp = client.security.get_token(
    grant_type="client_credentials",
)
print(resp)

const response = await client.security.getToken({
  grant_type: "client_credentials",
});
console.log(response);

POST /_security/oauth2/token
{
  "grant_type" : "client_credentials"
}

Следующий пример вывода содержит токен доступа, время (в секундах) до истечения срока действия токена и тип:

{
  "access_token" : "dGhpcyBpcyBub3QgYSByZWFsIHRva2VuIGJ1dCBpdCBpcyBvbmx5IHRlc3QgZGF0YS4gZG8gbm90IHRyeSB0byByZWFkIHRva2VuIQ==",
  "type" : "Bearer",
  "expires_in" : 1200,
  "authentication" : {
    "username" : "test_admin",
    "roles" : [
      "superuser"
    ],
    "full_name" : null,
    "email" : null,
    "metadata" : { },
    "enabled" : true,
    "authentication_realm" : {
      "name" : "file",
      "type" : "file"
    },
    "lookup_realm" : {
      "name" : "file",
      "type" : "file"
    },
    "authentication_type" : "realm"
  }
}

Токен, возвращаемый этим API, может быть использован, отправив запрос с заголовком Authorization со значением, начинающимся с "Bearer " и далее со значением access_token.

curl -H "Authorization: Bearer dGhpcyBpcyBub3QgYSByZWFsIHRva2VuIGJ1dCBpdCBpcyBvbmx5IHRlc3QgZGF0YS4gZG8gbm90IHRyeSB0byByZWFkIHRva2VuIQ==" http://localhost:9200/_cluster/health

В следующем примере получается токен для пользователя test_admin, используя тип гранта password. Этот запрос должен быть сделан аутентифицированным пользователем с достаточными привилегиями, которые могут быть или не быть такими же, как у пользователя, чьё имя пользователя передаётся в параметре username:

resp = client.security.get_token(
    grant_type="password",
    username="test_admin",
    password="x-pack-test-password",
)
print(resp)

const response = await client.security.getToken({
  grant_type: "password",
  username: "test_admin",
  password: "x-pack-test-password",
});
console.log(response);

POST /_security/oauth2/token
{
  "grant_type" : "password",
  "username" : "test_admin",
  "password" : "x-pack-test-password"
}

Следующий пример вывода содержит токен доступа, время (в секундах) до истечения срока действия токена, тип и токен обновления:

{
  "access_token" : "dGhpcyBpcyBub3QgYSByZWFsIHRva2VuIGJ1dCBpdCBpcyBvbmx5IHRlc3QgZGF0YS4gZG8gbm90IHRyeSB0byByZWFkIHRva2VuIQ==",
  "type" : "Bearer",
  "expires_in" : 1200,
  "refresh_token": "vLBPvmAB6KvwvJZr27cS",
  "authentication" : {
    "username" : "test_admin",
    "roles" : [
      "superuser"
    ],
    "full_name" : null,
    "email" : null,
    "metadata" : { },
    "enabled" : true,
    "authentication_realm" : {
      "name" : "file",
      "type" : "file"
    },
    "lookup_realm" : {
      "name" : "file",
      "type" : "file"
    },
    "authentication_type" : "realm"
  }
}

Для продления срока действия существующего токена, полученного с помощью типа гранта password, вы можете снова вызвать API с токеном обновления в течение 24 часов с момента создания токена. Например:

resp = client.security.get_token(
    grant_type="refresh_token",
    refresh_token="vLBPvmAB6KvwvJZr27cS",
)
print(resp)

const response = await client.security.getToken({
  grant_type: "refresh_token",
  refresh_token: "vLBPvmAB6KvwvJZr27cS",
});
console.log(response);

POST /_security/oauth2/token
{
  "grant_type": "refresh_token",
  "refresh_token": "vLBPvmAB6KvwvJZr27cS"
}

API вернёт новый токен и новый токен обновления. Каждый токен обновления может быть использован только один раз.

{
  "access_token" : "dGhpcyBpcyBub3QgYSByZWFsIHRva2VuIGJ1dCBpdCBpcyBvbmx5IHRlc3QgZGF0YS4gZG8gbm90IHRyeSB0byByZWFkIHRva2VuIQ==",
  "type" : "Bearer",
  "expires_in" : 1200,
  "refresh_token": "vLBPvmAB6KvwvJZr27cS",
  "authentication" : {
    "username" : "test_admin",
    "roles" : [
      "superuser"
    ],
    "full_name" : null,
    "email" : null,
    "metadata" : { },
    "enabled" : true,
    "authentication_realm" : {
      "name" : "file",
      "type" : "file"
    },
    "lookup_realm" : {
      "name" : "file",
      "type" : "file"
    },
    "authentication_type" : "token"
  }
}

Следующий пример получает токен доступа и токен обновления, используя тип гранта kerberos, который просто создаёт токен в обмен на билет Kerberos в кодировке base64:

POST /_security/oauth2/token
{
  "grant_type" : "_kerberos",
  "kerberos_ticket" : "YIIB6wYJKoZIhvcSAQICAQBuggHaMIIB1qADAgEFoQMCAQ6iBtaDcp4cdMODwOsIvmvdX//sye8NDJZ8Gstabor3MOGryBWyaJ1VxI4WBVZaSn1WnzE06Xy2"
}

API вернёт новый токен и токен обновления, если Kerberos-аутентификация прошла успешно. Каждый токен обновления может быть использован только один раз. Когда взаимная аутентификация запрашивается в контексте GSS Spnego, сервер вернёт токен в кодировке base64 в kerberos_authentication_response_token для клиентов, чтобы они могли его обработать и завершить аутентификацию.

{
  "access_token" : "dGhpcyBpcyBub3QgYSByZWFsIHRva2VuIGJ1dCBpdCBpcyBvbmx5IHRlc3QgZGF0YS4gZG8gbm90IHRyeSB0byByZWFkIHRva2VuIQ==",
  "type" : "Bearer",
  "expires_in" : 1200,
  "refresh_token": "vLBPvmAB6KvwvJZr27cS"
  "kerberos_authentication_response_token": "YIIB6wYJKoZIhvcSAQICAQBuggHaMIIB1qADAg",
  "authentication" : {
    "username" : "test_admin",
    "roles" : [
      "superuser"
    ],
    "full_name" : null,
    "email" : null,
    "metadata" : { },
    "enabled" : true,
    "authentication_realm" : {
      "name" : "file",
      "type" : "file"
    },
    "lookup_realm" : {
      "name" : "file",
      "type" : "file"
    },
    "authentication_type" : "realm"
  }
}