Os clusters do Alibaba Cloud Elasticsearch operam em virtual private clouds (VPCs) logicamente isoladas e contam com proteção em múltiplas camadas de segurança: controle de acesso à rede, autenticação, autorização, criptografia e recursos avançados de segurança do X-Pack.
Camadas de segurança
O controle de acesso atua em três camadas:
Camada de rede: listas de permissões de endereços IP definem quais hosts podem acessar o cluster ou o endpoint do Kibana.
Camada de autenticação: a senha do usuário
elasticvalida a identidade durante a conexão via cliente ou Kibana.Camada de autorização: o controle de acesso baseado em função (RBAC) do X-Pack concede permissões granulares sobre objetos como clusters, índices e campos.
A tabela a seguir resume o estado padrão e a ação necessária para cada método.
|
Método |
Escopo |
Estado padrão |
Ação necessária |
|
Senha de acesso ao cluster |
Autenticação no cluster e no Kibana |
Definida durante a criação do cluster |
Especifique uma senha para o usuário |
|
Lista de permissões de endereços IP públicos (cluster) |
Acesso à rede do cluster |
O acesso à rede pública está desativado |
Ative o acesso à rede pública e adicione endereços IP |
|
Lista de permissões de endereços IP privados (cluster) |
Acesso à rede do cluster |
O acesso à rede interna está permitido |
Adicione endereços IP à lista de permissões privadas |
|
Lista de permissões de endereços IP públicos (Kibana) |
Acesso à rede do Kibana |
O acesso à rede pública está ativado; a lista de permissões padrão é |
Adicione seu endereço IP à lista de permissões públicas do Kibana |
|
Lista de permissões de endereços IP privados (Kibana) |
Acesso à rede do Kibana |
O acesso à rede privada está desativado |
Ative o acesso à rede privada e adicione endereços IP |
|
RBAC do X-Pack |
Autorização (clusters, índices, campos) |
Disponível após a criação do cluster |
Crie funções personalizadas e atribua-as a usuários no console do Kibana |
Controle de acesso à rede
Listas de permissões de endereços IP do cluster
Lista de permissões de endereços IP públicos
Por padrão, o acesso à rede pública fica desativado nos clusters do Elasticsearch. Para acessar seu cluster pela internet, ative o acesso à rede pública e adicione o endereço IP do host a uma lista de permissões de endereços IP públicos.
Para obter mais informações, consulte Configure a public or private IP address whitelist for an Elasticsearch cluster.
Lista de permissões de endereços IP privados
Por padrão, o Elasticsearch permite o acesso ao cluster por meio de uma rede interna. Para restringir o acesso a hosts específicos, adicione os respectivos endereços IP a uma lista de permissões de endereços IP privados.
Para obter mais informações, consulte Configure a public or private IP address whitelist for an Elasticsearch cluster.
Listas de permissões de endereços IP do Kibana
Lista de permissões de endereços IP públicos
O acesso à rede pública do Kibana vem ativado por padrão. No entanto, a lista de permissões públicas padrão contém 127.0.0.1,::1, o que nega todas as solicitações IPv4 e IPv6. No primeiro login no console do Kibana, o sistema solicita a configuração de uma lista de permissões de endereços IP públicos. Adicione o endereço IP do host antes de fazer login.
Para obter mais informações, consulte Configure a public or private IP address whitelist for Kibana.
A página de configuração mostra que o Kibana Public Network Access está ativado, o Kibana Public Network Address é https://es-cn-n6w***l.kibana.elasticsearch.aliyuncs.com e a Kibana Public Network Port é 5601, com uma entrada de lista de permissões Modify à direita. O Kibana Private Network Access está desativado por padrão.
Lista de permissões de endereços IP privados
O acesso à rede privada do Kibana permanece desativado por padrão. Para fazer login no console do Kibana a partir de um host em uma rede interna, ative o acesso à rede privada e adicione o endereço IP desse host a uma lista de permissões de endereços IP privados.
Para obter mais informações, consulte Configure a public or private IP address whitelist for Kibana.
Autenticação
Senha de acesso ao cluster
Ao criar um cluster do Elasticsearch, defina uma senha para o usuário padrão elastic. Essa senha é necessária para acessar o cluster por meio de um cliente ou para fazer login no console do Kibana.
Para obter mais informações, consulte Parameters on the buy page.
A senha deve atender aos requisitos de complexidade: inclua pelo menos três dos seguintes tipos de caracteres: letras maiúsculas, letras minúsculas, dígitos e caracteres especiais. O comprimento deve ser de 8 a 32 caracteres. Os caracteres especiais suportados incluem !@#$%&*()_+-=. Para o conjunto exato de caracteres aceitos, consulte a mensagem exibida na página de compra no console.
Para alterar a senha, redefina-a na página de detalhes do cluster.
Para obter mais informações, consulte Reset the access password for an Elasticsearch cluster.
Autorização
RBAC do X-Pack
Para atribuir permissões granulares em clusters do Elasticsearch, índices e campos, utilize o mecanismo RBAC fornecido pelo plugin X-Pack. Crie funções personalizadas com permissões específicas e atribua-as a usuários no console do Kibana.
Para obter mais informações, consulte Use the RBAC mechanism provided by Elasticsearch X-Pack to implement access control.
Na página Create role do console do Kibana, configure os seguintes itens:
Role name: insira o nome da função.
Seção Elasticsearch: defina as Cluster privileges, os Run As privileges e os Index privileges (incluindo Indices, Privileges, Granted fields e permissões de leitura no nível do documento).
Seção Kibana: defina os Minimum privileges for all spaces e configure privilégios superiores para espaços específicos.
Após concluir a configuração, clique em Create role para criar a função.