Elasticsearch:Integrar o X-Pack à autenticação LDAP

Pré-requisitos

Observações de uso

Procedimento

1. Etapa 1: Obter um nome de domínio de endpoint (opcional)

2. Etapa 2: Configurar a autenticação LDAP

3. Etapa 3: Mapear contas de usuário LDAP para funções

4. Etapa 4: Verificar os resultados

Etapa 1: Obter um nome de domínio de endpoint (opcional)

Clusters do Elasticsearch criados em outubro de 2020 ou posteriormente são implantados na nova arquitetura de rede. Esses clusters residem na VPC da conta de serviço do Elasticsearch. Se o seu cluster estiver implantado na nova arquitetura de rede, use o serviço PrivateLink para estabelecer uma conexão privada entre a VPC do serviço e a sua VPC. Em seguida, obtenha o nome de domínio do endpoint correspondente para uso futuro. Para obter o nome de domínio de um endpoint, execute as etapas a seguir:

1. Crie uma instância do Classic Load Balancer (CLB) que ofereça suporte ao serviço PrivateLink e resida na mesma VPC do cluster Elasticsearch criado.

   Para mais informações, consulte Configurar uma conexão PrivateLink.

2. Configure a instância do balanceador de carga.

   Ao configurar a instância, defina o servidor que hospeda seu serviço LDAP como servidor backend e a porta do listener como 389.

   Para mais informações, consulte Configurar uma conexão PrivateLink.

3. Crie um serviço de endpoint.

   Para mais informações, consulte Configurar uma conexão PrivateLink.

4. Configure uma conexão privada com o cluster Elasticsearch.

   Para mais informações, consulte Configurar uma conexão PrivateLink.

5. Obtenha o nome de domínio do endpoint usado para acessar o serviço de endpoint.

   Para mais informações, consulte Configurar uma conexão PrivateLink.

   Nota

   Anote o nome de domínio obtido, pois ele será necessário nas configurações subsequentes.

Etapa 2: Configurar a autenticação LDAP

O modo de busca de usuário é o método mais comum. Nesse modo, um usuário privilegiado pesquisa no diretório LDAP o nome distinto (DN) do usuário em autenticação. A busca utiliza o nome de usuário recebido pelo X-Pack e um filtro de atributo LDAP. Após localizar o DN, o X-Pack se vincula ao diretório com esse DN e a senha para autenticar o usuário. Para mais informações, consulte Configurar um realm LDAP.

Para mais informações sobre os parâmetros, consulte Configurações de segurança no Elasticsearch.

Etapa 3: Mapear contas de usuário LDAP para funções

1. Faça login no console Kibana do seu cluster Elasticsearch.

   Para instruções, consulte Fazer login no console Kibana.

   Nota

   Os exemplos aqui usam o Elasticsearch V6.7.0. As operações podem variar ligeiramente em outras versões.

2. No painel de navegação à esquerda, clique em Developer Tools.

3. No Console, execute o comando a seguir para mapear usuários LDAP correspondentes a zhang* para a função superuser.

   Versão 8.x

   POST _security/role_mapping/ldap_super_user1?pretty
   {
     "roles": [ "superuser" ],
     "enabled": true,
     "rules": {
       "any": [
         {
           "field": {
             "username": "zhang*"
           }
         }
       ]
     }
   }

   Outras versões

   POST _xpack/security/role_mapping/ldap_super_user1?pretty
   {
     "roles": [ "superuser" ],
     "enabled": true,
     "rules": {
       "any": [
         {
           "field": {
             "username": "zhang*"
           }
         }
       ]
     }
   }

   Para mais informações, consulte a documentação da sua versão do Elasticsearch.

Etapa 4: Verifique os resultados

1. Faça login no console Kibana da sua instância do Alibaba Cloud Elasticsearch como um usuário zhang* autorizado.

2. No painel de navegação à esquerda, clique em Developer Tools.

3. No Console, execute o comando a seguir para verificar se o usuário zhang* tem permissão para modificar as configurações do cluster.

   PUT _cluster/settings
   {
     "persistent": {
       "action.auto_create_index": true
     }
   }

   Um comando bem-sucedido retorna a seguinte resposta:

   {
     "acknowledged" : true,
     "persistent" : {
       "action" : {
         "auto_create_index" : "true"
       }
     },
     "transient" : { }
   }