xpack用户管理

Posted 2020-11-21 libin2015

xpack对权限的管理包含两个主要的概念，用户和角色。角色可以限定具体的权限，包括读、写、管理等，
可以限定到index或具体字段级别。用户则可以拥有一个或多个角色信息。有了这两个概念就使得权限的管理非常明确清晰。

权限管理主要有两种方式：

1.kibana mangement管理界面进行角色和用户的管理操作

2.通过RESTful API的方式进行用户管理
推荐使用第一种，直观方便，但是需要收费。
###########################################################################################
下面是使用ESTful API的方式进行用户管理的demo及相关信息：

权限控制流程：
1.创建角色

POST /_xpack/security/role/my_admin_role
{
"cluster": ["all"],
"indices": [
{
"names": [ "index1", "index2" ],
"privileges": ["all"],
"field_security" : {
"grant" : [ "title", "body" ]
},
"query": "{"match": {"title": "foo"}}" // optional
}
],
"run_as": [ "other_user" ], // optional
"metadata" : {
"version" : 1
}
}

request body
cluster：集群级别操作权限的列表
indices：索引权限列表
field_security：字段权限
names (required)：赋予权限的索引名称
privileges(required)：索引级别的权限
query：查询规则限定
metadata：暂时不了解其作用
run_as：允许已认证的用户代表其他用户执行操作

删除角色

DELETE /_xpack/security/role/my_admin_role

api官网地址
https://www.elastic.co/guide/en/elasticsearch/reference/6.2/security-api-roles.html

2.添加用户

POST /_xpack/security/user/jacknich
{
"password" : "[email protected]",
"roles" : [ "admin", "other_role1" ],
"full_name" : "Jack Nicholson",
"email" : "[email protected]",
"metadata" : {
"intelligence" : 7
}
}

request body
enabled：用户是否有效
email：email地址
full_name：全称
metadata：要与用户关联的任意元数据
password (required)：密码
roles (required)：角色

修改密码

PUT /_xpack/security/user/jacknich/_password
{
"password" : "s3cr3t"
}

用户管理api

GET /_xpack/security/user
GET /_xpack/security/user/<username>
DELETE /_xpack/security/user/<username>
POST /_xpack/security/user/<username>
PUT /_xpack/security/user/<username>
PUT /_xpack/security/user/<username>/_disable
PUT /_xpack/security/user/<username>/_enable
PUT /_xpack/security/user/<username>/_password

api官网地址
https://www.elastic.co/guide/en/elasticsearch/reference/6.2/security-api-users.html

角色管理api

GET /_xpack/security/role
GET /_xpack/security/role/<name>
POST /_xpack/security/role/<name>/_clear_cache
POST /_xpack/security/role/<name>
PUT /_xpack/security/role/<name>
DELETE /_xpack/security/role/<name>

创建角色

POST /_xpack/security/role/my_admin_role
{
"cluster": ["all"],
"indices": [
{
"names": [ "index1", "index2" ],
"privileges": ["all"],
"field_security" : { // optional
"grant" : [ "title", "body" ]
},
"query": "{"match": {"title": "foo"}}" // optional
}
],
"run_as": [ "other_user" ], // optional
"metadata" : { // optional
"version" : 1
}
}

#################################################################
其他相关信息
内置账号

username    role    权限
elastic    superuser    内置的超级用户
kibana    kibana_system    用户kibana用来连接elasticsearch并与之通信。Kibana服务器以该用户身份提交请求以访问集群监视API和 .kibana索引。不能访问index。
logstash_system    logstash_system    用户Logstash在Elasticsearch中存储监控信息时使用

Security-Roles权限

ingest_admin    授予访问权限以管理所有索引模板和所有摄取管道配置。这个角色不能提供创建索引的能力; 这些特权必须在一个单独的角色中定义。
kibana_dashboard_only_user    授予对Kibana仪表板的访问权限以及对.kibana索引的只读权限。 这个角色无法访问Kibana中的编辑工具。
kibana_system    授予Kibana系统用户读取和写入Kibana索引所需的访问权限，管理索引模板并检查Elasticsearch集群的可用性。 此角色授予对.monitoring- 索引的读取访问权限以及对.reporting- 索引的读取和写入访问权限。
kibana_user    授予Kibana用户所需的最低权限。 此角色授予访问集群的Kibana索引和授予监视权限。
logstash_admin    授予访问用于管理配置的.logstash *索引的权限。
logstash_system    授予Logstash系统用户所需的访问权限，以将系统级别的数据（如监视）发送给Elasticsearch。不应将此角色分配给用户，因为授予的权限可能会在不同版本之间发生变化。此角色不提供对logstash索引的访问权限，不适合在Logstash管道中使用。
machine_learning_admin    授予manage_ml群集权限并读取.ml- *索引的访问权限。
machine_learning_user    授予查看X-Pack机器学习配置，状态和结果所需的最低权限。此角色授予monitor_ml集群特权，并可以读取.ml-notifications和.ml-anomalies *索引，以存储机器学习结果
monitoring_user    授予除使用Kibana所需的X-Pack监视用户以外的任何用户所需的最低权限。 这个角色允许访问监控指标。 监控用户也应该分配kibana_user角色
remote_monitoring_agent    授予远程监视代理程序将数据写入此群集所需的最低权限
reporting_user    授予使用Kibana所需的X-Pack报告用户所需的特定权限。 这个角色允许访问报告指数。 还应该为报告用户分配kibana_user角色和一个授予他们访问将用于生成报告的数据的角色。 
superuser #授予对群集的完全访问权限，包括所有索引和数据。 具有超级用户角色的用户还可以管理用户和角色，并模拟系统中的任何其他用户。 由于此角色的宽容性质，在将其分配给用户时要格外小心
transport_client    通过Java传输客户端授予访问集群所需的权限。 Java传输客户端使用节点活性API和群集状态API（当启用嗅探时）获取有关群集中节点的信息。 如果他们使用传输客户端，请为您的用户分配此角色。使用传输客户端有效地意味着用户被授予访问群集状态的权限。这意味着用户可以查看所有索引，索引模板，映射，节点以及集群基本所有内容的元数据。但是，此角色不授予查看所有索引中的数据的权限
watcher_admin    授予对.watches索引的写入权限，读取对监视历史记录的访问权限和触发的监视索引，并允许执行所有监视器操作
watcher_user    授予读取.watches索引，获取观看动作和观察者统计信息的权限

官网地址
https://www.elastic.co/guide/en/x-pack/6.2/built-in-roles.html

cluster权限,可以分配给角色的权限
权限详情

all    所有集群管理操作，如快照，节点关闭/重新启动，设置更新，重新路由或管理用户和角色
monitor    所有集群只读操作，如集群运行状况，热线程，节点信息，节点和集群统计信息，快照/恢复状态，等待集群任务
monitor_ml    所有只读机器学习操作，例如获取有关数据传输，作业，模型快照或结果的信息
monitor_watcher    所有只读操作，例如获取watch和watcher统计信息
manage    构建monitor并添加更改集群中值的集群操作。这包括快照，更新设置和重新路由。此特权不包括管理安全性的能力
manage_index_templates    索引模板上的所有操作
manage_ml    所有机器学习操作，例如创建和删除数据传输，作业和模型快照。数据处理以具有提升特权的系统用户身份运行，包括读取所有索引的权限
manage_pipeline    摄取管道的所有操作
manage_security    所有与安全相关的操作，例如对用户和角色的CRUD操作以及缓存清除
manage_watcher    所有观察者操作，例如放置watches，执行，激活或确认。Watches作为具有提升特权的系统用户运行，包括读取和写入所有索引的权限。Watches作为具有提升特权的系统用户运行，包括读取和写入所有索引的权限
transport_client    传输客户端连接所需的所有权限。远程群集需要启用跨级群搜索

indices权限
权限详情

all    索引上的任何操作
monitor    监控所需的所有操作（恢复，细分信息，索引统计信息和状态）
manage    所有monitor特权加索引管理（别名，分析，缓存清除，关闭，删除，存在，刷新，映射，打开，强制合并，刷新，设置，搜索分片，模板，验证）
view_index_metadata    对索引元数据（别名，别名存在，获取索引，存在，字段映射，映射，搜索分片，类型存在，验证，warmers，设置）进行只读访问。此特权主要供Kibana用户使用
read    只读操作（计数，解释，获取，mget，获取索引脚本，更多像这样，多渗透/搜索/ termvector，渗透，滚动，clear_scroll，搜索，建议，tv）
read_cross_cluster    只读访问来自远程集群的搜索操作
index    索引和更新文件。还授予对更新映射操作的访问权限
create    索引文件。还授予对更新映射操作的访问权限
delete    删除文件
write    对文档执行所有写入操作的权限，包括索引，更新和删除文档以及执行批量操作的权限。还授予对更新映射操作的访问权限
delete_index    删除索引
create_index    创建索引。创建索引请求可能包含在创建索引时添加到索引的别名。在这种情况下，该请求最好有manage权限，同时设置索引和别名

官网地址
https://www.elastic.co/guide/en/x-pack/6.2/security-privileges.html