Elasticsearch：Konfigurasikan otentikasi identitas Active Directory

Prasyarat

Anda telah menyelesaikan operasi berikut:

• Instans Alibaba Cloud Elasticsearch telah dibuat. Topik ini menggunakan instans Elasticsearch V7.10 sebagai contoh.

  Untuk informasi selengkapnya, lihat Buat instans Alibaba Cloud Elasticsearch.

• Lingkungan dan data domain AD tersedia dalam virtual private cloud (VPC) yang sama dengan instans Alibaba Cloud Elasticsearch. Topik ini menggunakan Windows Server 2012 sebagai contoh.

  Pada topik ini, username adalah ccy1, dan domain root adalah ccy.com

Batasan

Prosedur

1. Langkah 1: (Opsional) Dapatkan nama domain titik akhir

2. Langkah 2: Konfigurasikan otentikasi AD

3. Langkah 3: Petakan akun domain ke role

4. Langkah 4: Verifikasi hasil

Langkah 1: (Opsional) Dapatkan nama domain titik akhir

Kluster Elasticsearch yang dibuat pada Oktober 2020 atau setelahnya diterapkan pada arsitektur jaringan baru. Kluster tersebut berada di VPC milik akun layanan Elasticsearch. Jika kluster Elasticsearch Anda menggunakan arsitektur jaringan baru, Anda perlu menggunakan layanan PrivateLink untuk membuat koneksi pribadi antara VPC tersebut dan VPC Anda. Selanjutnya, dapatkan nama domain dari titik akhir terkait untuk digunakan nanti. Untuk mendapatkan nama domain titik akhir, lakukan langkah-langkah berikut:

1. Buat instans Classic Load Balancer (CLB) yang mendukung layanan PrivateLink dan berada di VPC yang sama dengan kluster Elasticsearch yang telah dibuat.

   Untuk informasi selengkapnya, lihat Langkah 1: Buat dan konfigurasikan instans SLB.

2. Konfigurasikan instans SLB.

   Saat mengonfigurasi instans, tentukan server yang menghosting layanan Lightweight Directory Access Protocol (LDAP) sebagai server backend dan atur port listening ke 389.

   Untuk informasi selengkapnya, lihat Konfigurasikan koneksi pribadi untuk kluster Elasticsearch.

3. Buat layanan titik akhir.

   Untuk informasi selengkapnya, lihat Langkah 2: Buat layanan titik akhir.

4. Konfigurasikan koneksi pribadi ke kluster Elasticsearch.

   Untuk informasi selengkapnya, lihat Langkah 3: Konfigurasikan koneksi pribadi untuk kluster Alibaba Cloud ES.

5. Dapatkan nama domain titik akhir yang digunakan untuk mengakses layanan titik akhir.

   Untuk informasi selengkapnya, lihat Konfigurasikan koneksi pribadi untuk kluster Elasticsearch.

   Catatan Catat nama domain yang diperoleh karena akan digunakan dalam konfigurasi selanjutnya.

Langkah 2: Konfigurasikan otentikasi AD

Fitur keamanan Elasticsearch dapat berkomunikasi dengan domain AD untuk melakukan otentikasi identitas pengguna. Fitur ini menggunakan LDAP untuk berkomunikasi dengan domain AD, sehingga realm active_directory mirip dengan realm ldap. Seperti direktori LDAP, domain AD menyimpan pengguna dan grup secara hierarkis. Untuk mengotentikasi pengguna, domain AD mengirim permintaan bind LDAP. Setelah otentikasi berhasil, domain AD mencari entri pengguna di Active Directory. Setelah pengguna ditemukan, domain AD mengambil keanggotaan grup pengguna dari atribut tokenGroups pada entri pengguna tersebut. Untuk informasi selengkapnya, lihat Configuring an Active Directory realm.

xpack.security.authc.realms.active_directory.my_ad.order: 2
xpack.security.authc.realms.active_directory.my_ad.domain_name: ccy.com
xpack.security.authc.realms.active_directory.my_ad.url: ldap://ep-bp1i321219*********-cn-hangzhou-h.epsrv-bp15571d5ps*********.cn-hangzhou.privatelink.aliyuncs.com:389
xpack.security.authc.realms.active_directory.my_ad.bind_dn: cc**@ccy.com
xpack.security.authc.realms.active_directory.my_ad.bind_password: your_password

Langkah 3: Petakan akun domain ke role

1. Masuk ke Konsol Kibana instans Elasticsearch Anda.

   Untuk informasi selengkapnya, lihat Masuk ke Konsol Kibana.

   Catatan

   Operasi dapat sedikit berbeda tergantung versi Kibana. Antarmuka pengguna aktual yang berlaku.

2. Di halaman utama Kibana, klik Dev Tools.

3. Di tab Console, jalankan perintah berikut untuk memetakan pengguna ccy1 di domain AD ke role administrator.

   PUT /_security/role_mapping/basic_users
   {
     "roles": [ "superuser" ],
     "enabled": true,
     "rules": {
       "any": [
         {
           "field": {
             "groups": "cn=ali,dc=ccy,dc=com"
           }
         },
         {
           "field": {
             "dn": "cn=ccy1,cn=ali,dc=ccy,dc=com"
           }
         }
       ]
     }
   }

Langkah 4: Verifikasi hasil

1. Masuk ke Konsol Kibana instans Elasticsearch Anda sebagai pengguna ccy1 yang telah diberi otorisasi.

2. Di halaman utama Kibana, klik Dev Tools.

3. Di tab Console, jalankan perintah berikut untuk memverifikasi bahwa pengguna ccy1 memiliki izin yang diperlukan.

   GET _cat/indices

   Jika pengguna ccy1 memiliki izin yang diperlukan, hasil akan dikembalikan. Hal ini menunjukkan bahwa izin untuk pengguna ccy1 di domain AD telah dikonfigurasi.