Elasticsearch:Intégration de X-Pack avec l'authentification LDAP

Prérequis

Notes d'utilisation

Procédure

1. Étape 1 : Obtenir un nom de domaine de point de terminaison (facultatif)

2. Étape 2 : Configurer l'authentification LDAP

3. Étape 3 : Mapper les comptes d'utilisateurs LDAP aux rôles

4. Étape 4 : Vérifier les résultats

Étape 1 : Obtenir un nom de domaine de point de terminaison (facultatif)

Les clusters Elasticsearch créés en octobre 2020 ou ultérieurement sont déployés sur la nouvelle architecture réseau. Ces clusters Elasticsearch résident dans le VPC du compte de service Elasticsearch. Si votre cluster Elasticsearch est déployé sur la nouvelle architecture réseau, vous devez utiliser le service PrivateLink pour établir une connexion privée entre le VPC et votre propre VPC. Ensuite, obtenez le nom de domaine du point de terminaison associé pour une utilisation ultérieure. Pour obtenir le nom de domaine d'un point de terminaison, procédez comme suit :

1. Créez une instance Classic Load Balancer (CLB) qui prend en charge le service PrivateLink et réside dans le même VPC que le cluster Elasticsearch créé.

   Pour plus d'informations, consultez la section Configurer une connexion PrivateLink.

2. Configurez l'instance d'équilibreur de charge.

   Lors de la configuration de l'instance, définissez le serveur qui héberge votre service LDAP comme serveur backend et le port d'écoute sur 389.

   Pour plus d'informations, consultez la section Configurer une connexion PrivateLink.

3. Créez un service de point de terminaison.

   Pour plus d'informations, consultez la section Configurer une connexion PrivateLink.

4. Configurez une connexion privée au cluster Elasticsearch.

   Pour plus d'informations, consultez la section Configurer une connexion PrivateLink.

5. Obtenez le nom de domaine du point de terminaison utilisé pour accéder au service de point de terminaison.

   Pour plus d'informations, consultez la section Configurer une connexion PrivateLink.

   Remarque

   Notez le nom de domaine obtenu, car il sera utilisé dans les configurations ultérieures.

Étape 2 : Configurer l'authentification LDAP

Le mode de recherche d'utilisateur est la méthode la plus courante. Dans ce mode, un utilisateur privilégié recherche le nom distinctif (DN) de l'utilisateur en cours d'authentification dans l'annuaire LDAP, en se basant sur le nom d'utilisateur et un filtre d'attribut LDAP. Une fois le DN trouvé, X-Pack se lie à l'annuaire avec le DN et le mot de passe pour terminer l'authentification. Pour plus d'informations, consultez la page Configurer un domaine LDAP.

Pour plus d'informations sur les paramètres, consultez la page Paramètres de sécurité dans Elasticsearch.

Étape 3 : Mapper les comptes d'utilisateurs LDAP aux rôles

1. Connectez-vous à la console Kibana de votre cluster Elasticsearch.

   Pour obtenir des instructions, consultez la page Se connecter à la console Kibana.

   Remarque

   Les exemples présentés ici utilisent Elasticsearch V6.7.0. Les opérations peuvent varier légèrement pour d'autres versions.

2. Dans le volet de navigation de gauche, cliquez sur Developer Tools.

3. Dans la Console, exécutez la commande suivante pour mapper les utilisateurs LDAP correspondant à zhang* au rôle superuser.

   Version 8.x

   POST _security/role_mapping/ldap_super_user1?pretty
   {
     "roles": [ "superuser" ],
     "enabled": true,
     "rules": {
       "any": [
         {
           "field": {
             "username": "zhang*"
           }
         }
       ]
     }
   }

   Autres versions

   POST _xpack/security/role_mapping/ldap_super_user1?pretty
   {
     "roles": [ "superuser" ],
     "enabled": true,
     "rules": {
       "any": [
         {
           "field": {
             "username": "zhang*"
           }
         }
       ]
     }
   }

   Pour plus d'informations, consultez la documentation relative à votre version Elasticsearch.

Étape 4 : Vérifier les résultats

1. Connectez-vous à la console Kibana de votre instance Alibaba Cloud Elasticsearch en tant qu'utilisateur zhang* autorisé.

2. Dans le volet de navigation de gauche, cliquez sur Developer Tools.

3. Dans la Console, exécutez la commande suivante pour vérifier que l'utilisateur zhang* dispose des autorisations nécessaires pour modifier les paramètres du cluster.

   PUT _cluster/settings
   {
     "persistent": {
       "action.auto_create_index": true
     }
   }

   En cas de succès, la commande renvoie la réponse suivante :

   {
     "acknowledged" : true,
     "persistent" : {
       "action" : {
         "auto_create_index" : "true"
       }
     },
     "transient" : { }
   }