Elasticsearch:Elasticsearch クラスターの SSO を実装する

IDaaS SAML アプリケーションを構成する

1. IDaaS コンソール にログオンします。

2. EIAM ページで EIAM インスタンスを見つけて、インスタンス ID をクリックします。

3. SAML アプリケーションを追加します。

   1. クイックスタートページの左側のナビゲーションペインで、[アプリケーション] をクリックします。

   2. [アプリケーション] ページで、[アプリケーションの追加] をクリックします。

   3. [アプリケーションの追加] ページで、[標準プロトコル] タブをクリックします。

   4. [SAML 2.0] カードで、[アプリケーションの追加] をクリックします。

   5. [アプリケーションの追加 - SAML] ダイアログボックスの [アプリケーション名] フィールドに、アプリケーションの名前を入力します。 次に、[追加] をクリックします。

4. [サインイン] タブの [SSO] サブタブで、[アプリケーションの SSO 設定] を構成します。

   次の表で説明されているパラメーターを構成する必要があります。 その他のパラメーターについては、デフォルト値を保持できます。 パラメーターの詳細については、SAML 2.0 SSO 構成トピックの IDaaS パラメーター をご参照ください。

   カテゴリ	パラメーター	説明
   基本設定	[ACS URL]	ACS URL。 IdP から認証情報を受信するために使用されます。 ACS URL は、Elasticsearch コンソールの [SAML 認証の有効化] パネルの [SAML アプリケーションの構成] ステップで取得できます。
   	[SP エンティティ ID]	SP の一意の ID。 この例では、SP は Kibana です。 ID は、Elasticsearch コンソールの [SAML 認証の有効化] パネルの [SAML アプリケーションの構成] ステップで取得できます。
   	[承認]	承認スコープ。 このパラメーターを [手動] に設定した場合は、[サインイン] タブの [承認] サブタブで承認を実行する必要があります。
   詳細設定	[nameidformat]	ドロップダウンリストから [2.0 Persistent] を選択します。

5. [アプリケーション設定] セクションで、[idp メタデータ] パラメーターの値の横にある [ダウンロード] をクリックします。

6. [保存] をクリックしてアプリケーションを保存します。

ステップ 1: IDaaS SAML アプリケーションを構成する

1. IDaaS コンソール にログオンします。

2. EIAM ページで EIAM インスタンスを見つけて、インスタンス ID をクリックします。

3. SAML アプリケーションを追加します。

   1. クイックスタートページの左側のナビゲーションペインで、[アプリケーション] をクリックします。

   2. [アプリケーション] ページで、[アプリケーションの追加] をクリックします。

   3. [アプリケーションの追加] ページで、[標準プロトコル] タブをクリックします。

   4. [SAML 2.0] カードで、[アプリケーションの追加] をクリックします。

   5. [アプリケーションの追加 - SAML] ダイアログボックスの [アプリケーション名] フィールドに、アプリケーションの名前を入力します。 次に、[追加] をクリックします。

4. [サインイン] タブの [SSO] サブタブで、[アプリケーションの SSO 設定] を構成します。

   次の表で説明されているパラメーターを構成する必要があります。 その他のパラメーターについては、デフォルト値を保持できます。 パラメーターの詳細については、SAML 2.0 SSO 構成トピックの IDaaS パラメーター をご参照ください。

   カテゴリ	パラメーター	説明
   基本設定	[ACS URL]	ACS URL。 IdP から認証情報を受信するために使用されます。 ACS URL は、SAML アプリケーションの HTTP-POST バインディングのみをサポートしています。 ほとんどの場合、このパラメーターは ${kibana-url}:5601/api/security/v1/saml 形式で構成できます。
   	[SP エンティティ ID]	SP の一意の ID。 この例では、SP は Kibana です。 このパラメーターは ${kibana-url}:5601 形式で構成する必要があります。
   	[承認]	承認スコープ。 このパラメーターを [手動] に設定した場合は、[サインイン] タブの [承認サブタブで承認を実行する必要があります。
   詳細設定	[nameidformat]	ドロップダウンリストから [2.0 Persistent] を選択します。

   説明

   • ${kibana-url} は、Kibana のパブリック URL を示します。

   • Elasticsearch コンソールの [Kibana の構成] ページで、Kibana のパブリック URL とパブリックポートを表示できます。 詳細については、「Kibana のパブリックまたはプライベート IP アドレスホワイトリストを構成する」をご参照ください。

5. [アプリケーション設定] セクションで、[idp メタデータ] パラメーターの値の横にある [ダウンロード] をクリックします。

   IDaaS SAML メタデータは、後で使用するために構成ファイルとしてダウンロードされます。

ステップ 2: Elasticsearch でカスタムロールを作成し、SAML 情報を構成する

1. Elasticsearch クラスターの Kibana コンソールにログオンします。詳細については、「Kibana コンソールにログオンする」をご参照ください。

2. カスタムロールを作成します。 詳細については、「Elasticsearch X-Pack が提供する RBAC メカニズムを使用してアクセス制御を実装する」をご参照ください。

3. ロールを SAML アプリケーションにマッピングします。

   <admin_role> は、前の手順で作成したロールの名前に置き換える必要があります。

   PUT /_security/role_mapping/idaas-test
   {
     "roles": "<admin_role>" , // ロールの名前
     "enabled": true,
     "rules": {
       "field": { "realm.name": "saml1" }
     }
   }

4. Elasticsearch と Kibana の YML 構成ファイルに SAML 情報を追加します。

   説明

   YML 構成ファイルに追加する SAML 情報は、IDaaS SAML アプリケーションを構成する で構成された SAML 情報と一致している必要があります。

   • Elasticsearch の YML 構成ファイル

     # Elasticsearch の YML 構成ファイル
     
     xpack.security.authc.token.enabled: 'true'
     xpack.security.authc.realms.saml.saml1:
       order: 2
       idp.metadata.path: saml/metadata.xml
       idp.entity_id: "https://es-cn-n6xxxxxx1d.elasticsearch.aliyuncs.com/"
       sp.entity_id: "https://es-cn-n6xxxxxx1d.kibana.elasticsearch.aliyuncs.com:5601/"
       sp.acs: "https://es-cn-n6xxxxxx1d.kibana.elasticsearch.aliyuncs.com:5601/api/security/v1/saml"
       attributes.principal: "nameid:persistent"
       attributes.groups: "roles"

     パラメーター	説明
     xpack.security.authc.token.enabled	トークンサービスを有効にするかどうかを指定します。 SAML SSO を構成するには、このパラメーターを true に設定する必要があります。 トークンサービスを有効にする方法の詳細については、「saml-enable-token」をご参照ください。
     xpack.security.authc.realms.saml.saml1	ID 認証レルム。 この例では、このパラメーターを saml1 に設定します。 レルムの詳細については、「レルム」をご参照ください。
     order	レルムの優先順位。 値が小さいほど優先順位が高くなります。 説明 Elasticsearch V8.X クラスターの場合、このパラメーターの値は異なるリクエスト間で一意である必要があります。 このパラメーターを 2 に設定することをお勧めします。
     idp.metadata.path	IdP 用に保存したメタデータ構成ファイルのパス。
     idp.entity_id	IdP の ID。 ID は、メタデータ構成ファイルの EntityID 属性と一致する必要があります。
     sp.entity_id	Kibana の一意の ID。 このパラメーターの値は、SAML アプリケーションの構成の [SP エンティティ ID] パラメーターの値と同じである必要があります。 Kibana を IdP の SP として追加する場合は、このパラメーターが必要です。 このパラメーターを Kibana のパブリック URL に設定することをお勧めします。SP エンティティ ID 重要 このパラメーターの値がビジネス環境の情報と一致していることを確認してください。 URL ではなくリバースプロキシを使用して Kibana にアクセスする場合は、このパラメーターでリバースプロキシのエンドポイントとポート番号を指定する必要があります。
     sp.acs	ACS URL。 IdP から認証情報を受信するために使用されます。 このパラメーターの値は、SAML アプリケーションの構成の [ACS URL] パラメーターの値と同じである必要があります。 ACS URL は、SAML アプリケーションの HTTP-POST バインディングのみをサポートしています。 ほとんどの場合、このパラメーターは ACS URL${kibana-url}:5601/api/security/v1/saml 形式で構成できます。 説明 ${kibana-url} は、Kibana のパブリック URL を示します。
     attributes.principal	アサーション情報。 詳細については、「属性マッピング」をご参照ください。
     attributes.groups	アサーション情報。 詳細については、「属性マッピング」をご参照ください。

   • Kibana の YML 構成ファイル

     # Kibana の YML 構成ファイル
     
     xpack.security.authc.providers:
       saml.saml1:
         order: 0
         realm: "saml1"
       basic.basic1:
         order: 1
         icon: "logoElasticsearch"
         hint: "Typically for administrators" // 通常は管理者向け
     
     
     

     パラメーター	説明
     xpack.security.authc.providers	SAML アプリケーションのプロバイダー。 このパラメーターは、SAML SSO を Kibana の ID 認証方法として使用することを指定します。
     xpack.security.authc.providers.saml.<provider-name>.realm	SAML 認証レルム。 <provider-name> を Elasticsearch の YML 構成ファイルで指定したレルムに置き換えます。 この例では、saml1 が使用されています。
     xpack.security.authc.providers.basic.basic1	Kibana の YML 構成ファイルで SAML 情報を構成した後、SAML 認証に合格したユーザーのみが Kibana にアクセスできます。 基本ユーザーとして Kibana コンソールにログオンするには、basic.basic1 の構成項目の値を指定できます。 基本ユーザーとして Kibana コンソールへのログオンをテストする場合は、elastic ユーザー名とそのパスワードを使用して Elasticsearch クラスターにログオンし、ロールを作成してから、ロールを SAML アプリケーションにマッピングする必要がある場合があります。 basic.basic1 の構成項目の値を指定すると、Kibana ログオンページに、基本ユーザーとして Kibana コンソールにログオンするためのエントリポイントが表示されます。 詳細については、「Kibana での認証」をご参照ください。 説明 基本ユーザーとして Kibana コンソールにログオンする必要がない場合は、basic.basic1 の項目を構成する必要はありません。

ステップ 3: 構成ファイルを送信する

チケットを送信する して、次の構成ファイルを Alibaba Cloud Elasticsearch テクニカルサポート担当者に送信します。

• IDaaS SAML メタデータ構成ファイル: テクニカルサポート担当者は、送信した IDaaS SAML メタデータ構成ファイルを Elasticsearch の config/saml パスにアップロードします。

• Elasticsearch の YML 構成ファイル: テクニカルサポート担当者は、送信した構成ファイルに基づいて、バックエンドで Elasticsearch クラスターの YML 構成ファイルを更新します。

• Kibana の YML 構成ファイル: テクニカルサポート担当者は、送信した構成ファイルに基づいて、バックエンドで Elasticsearch クラスターの YML 構成ファイルを更新します。

ステップ 4: Kibana コンソールへの SSO を確認する

上記の構成が完了したら、SSO を使用して Kibana コンソールにログオンします。

1. Kibana コンソールのログオンページに移動し、[saml/saml1 でログイン] をクリックします。

   詳細については、「Kibana コンソールにログオンする」をご参照ください。

2. IDaaS に関連付けられているアカウントを入力し、[送信] をクリックします。

   Kibana コンソールのホームページが表示されます。