Поиск пользователей без авторизации

Реализации Elasticsearch областей в первую очередь предназначены для поддержки авторизации пользователей. Некоторые области выполняют авторизацию пользователей с паролем (например, native и ldap области), а другие области используют более сложные протоколы аутентификации (например, saml и oidc области). В каждом случае основная цель области — установить личность пользователя, который направил запрос к API Elasticsearch.

Однако некоторые функции Elasticsearch должны находить пользователя без использования его учетных данных.

В каждом из этих случаев пользователь должен сначала пройти аутентификацию в одной области, а затем Elasticsearch запросит другую область, чтобы найти другого пользователя. Учетные данные авторизованного пользователя используются для аутентификации только в первой области. Пользователь во второй области извлекается по имени пользователя без необходимости в предоставлении учетных данных.

Когда Elasticsearch находит пользователя по его учетным данным (как выполняется в первой области), это называется аутентификацией пользователя.

Когда Elasticsearch находит пользователя только по имени пользователя (как выполняется во второй области), это называется поиском пользователя.

См. документацию по run_as и делегированной авторизации, чтобы узнать больше об этих функциях, включая области и методы аутентификации, которые поддерживают run_as или делегированную авторизацию. В обоих случаях для поиска пользователя могут использоваться только следующие области:

Области pki, saml, oidc, kerberos и jwt не поддерживают поиск пользователя.

Функция поиска пользователя является внутренней возможностью, используемой для реализации функций run-as и делегированной авторизации — нет API для поиска пользователя. Если вы хотите протестировать свою конфигурацию поиска пользователя, вы можете сделать это с помощью run_as. Используйте API Авторизация, авторизуйтесь как superuser (например, встроенный пользователь elastic) и укажите заголовок запроса es-security-runas-user.