检索分析服务Elasticsearch版：开启ES单点登录认证

配置IDaaS SAML应用

1. 登录IDaaS管理平台。

2. 单击目标IDaaS实例ID。

3. 添加应用。

   1. 在左侧菜单栏，单击应用。

   2. 在应用页面，单击添加应用。

   3. 单击标准协议页签。

   4. 在SAML 2.0区域，单击添加应用。

   5. 输入应用名称，单击立即添加。

4. 在登录访问的单点登录页签下，完成应用的单点登录配置。

   配置如下参数，其他参数保持默认。更多参数信息，请参见IDaaS 侧配置字段说明。

   分类	参数	说明
   基本配置	单点登录地址 ACS URL	单点登录地址用来接收来自IDP的身份验证信息。您可以在ES控制台的配置SAML应用向导页面，复制单点登录地址ACS URL。
   	应用唯一标识 SP Entity ID	应用唯一标识是服务提供者SP的访问URL，本文的服务提供者为Kibana。您可以在ES控制台的配置SAML应用向导页面，复制应用唯一标识SP Entity ID。
   	授权范围	选择授权范围。 如果选择手动授权，需要在登录访问的应用授权页签中进行权限分配。
   高级配置	NameID 格式 NameIDFormat	选择2.0 persistent。

   配置示例：

   

5. 在应用配置信息区域，单击IdP元数据后的下载。

6. 单击保存，保存添加的应用。

步骤一：配置IDaaS SAML应用

1. 登录IDaaS管理平台。

2. 单击目标IDaaS实例ID。

3. 添加应用。

   1. 在左侧菜单栏，单击应用。

   2. 在应用页面，单击添加应用。

   3. 单击标准协议页签。

   4. 在SAML 2.0区域，单击添加应用。

   5. 输入应用名称，单击立即添加。

4. 在登录访问的单点登录页签下，完成应用的单点登录配置。

   配置如下参数，选择授权范围，其他参数保持默认。更多参数信息，请参见IDaaS 侧配置字段说明。

   分类	参数	说明
   基本配置	单点登录地址 ACS URL	用来接收来自IDP的身份验证信息，此ACS端点仅支持SAML HTTP-POST绑定，通常配置为：${kibana-url}:5601/api/security/v1/saml。
   	应用唯一标识 SP Entity ID	服务提供者SP的访问URL。本文的服务提供者为Kibana，应用唯一标识需要配置为${kibana-url}:5601。
   	授权范围	选择授权范围。如果选择手动授权，需要在登录访问的应用授权页签中进行权限分配。
   高级配置	NameID 格式 NameIDFormat	选择2.0 persistent。

   说明

   • ${kibana-url}为Kibana公网地址。

   • 您可以在配置Kibana访问白名单的页面查看Kibana公网地址和Kibana端口。具体操作，请参见配置Kibana公网或私网访问白名单。

   配置示例：

   

5. 在应用配置信息区域，单击IdP元数据后的下载。

   下载的文件即为IDaaS SAML元配置文件，以备后用。

步骤二：创建自定义角色并配置elastic SAML

1. 在目标实例中登录Kibana控制台。具体操作，请参见登录Kibana控制台。

2. 创建一个角色。具体操作，请参见通过Elasticsearch X-Pack角色管理实现用户权限管控。

3. 将角色与SAML进行映射。

   <admin_role>需要替换为上一步创建的角色名称。

   PUT /_security/role_mapping/idaas-test
   {
     "roles": "<admin_role>" ,
     "enabled": true,
     "rules": {
       "field": { "realm.name": "saml1" }
     }
   }

4. 制作Elasticsearch和Kibana的YML配置文件，在配置文件中添加SAML信息。

   说明

   YML参数信息需要与配置IDaaS SAML应用中配置的SAML信息保持一致。

   • elasticsearch.yml配置文件内容

     #elasticsearch.yml配置
     
     xpack.security.authc.token.enabled: 'true'
     xpack.security.authc.realms.saml.saml1:
       order: 2
       idp.metadata.path: saml/metadata.xml
       idp.entity_id: "https://es-cn-n6xxxxxx1d.elasticsearch.aliyuncs.com/"
       sp.entity_id: "https://es-cn-n6xxxxxx1d.kibana.elasticsearch.aliyuncs.com:5601/"
       sp.acs: "https://es-cn-n6xxxxxx1d.kibana.elasticsearch.aliyuncs.com:5601/api/security/v1/saml"
       attributes.principal: "nameid:persistent"
       attributes.groups: "roles"

     参数	说明
     xpack.security.authc.token.enabled	是否开启Token服务。需要设置为true，才可配置SAML单点登录，详细信息请参见saml-enable-token。
     xpack.security.authc.realms.saml.saml1	定义的身份认证领域，本文示例为saml1。领域的详细信息请参见Realms。
     order	领域优先级，数值越低，优先级越高。 说明 8.x版本要求order数值唯一性，建议使用2。
     idp.metadata.path	IDP元数据文件路径。
     idp.entity_id	IDP使用的身份标识符，和元数据文件中的EntityID相匹配。
     sp.entity_id	Kibana实例唯一标识符，与SAML应用的应用唯一标识SP Entity ID相同。如果将Kibana添加为IDP的服务提供商，需要设置此值，推荐配置为Kibana的URL。 重要 请确保参数值与业务环境保持一致。如果您配置了反向代理访问Kibana，而不是直接通过URL访问，需要将该参数配置为反向代理的地址和端口。
     sp.acs	断言消费服务ACS端点，与SAML应用的单点登录地址ACS URL相同。用来接收来自IDP的身份验证信息，此ACS端点仅支持SAML HTTP-POST绑定，通常配置为${kibana-url}:5601/api/security/v1/saml。 说明 ${kibana-url}为Kibana公网地址。
     attributes.principal	断言信息，具体请参见Attribute mapping。
     attributes.groups	断言信息，具体请参见Attribute mapping。

   • kibana.yml配置文件内容

     # kibana配置
     
     xpack.security.authc.providers:
       saml.saml1:
         order: 0
         realm: "saml1"
       basic.basic1:
         order: 1
         icon: "logoElasticsearch"
         hint: "Typically for administrators"

     参数	说明
     xpack.security.authc.providers	添加SAML提供程序，以设置Kibana使用SAML SSO作为身份验证方法。
     xpack.security.authc.providers.saml.<provider-name>.realm	设置SAML领域名称。请将<provider-name>替换为elasticsearch.yml中配置的领域名称。本文示例为saml1。
     xpack.security.authc.providers.basic.basic1	Kibana配置SAML后，仅支持符合SAML身份验证的用户登录Kibana。为了便于在Kibana登录页面支持basic身份登录（尤其在测试环节，可能需要使用elastic用户名和密码登录集群，创建角色及角色映射），可指定basic.basic1部分配置。指定后，Kibana登录页面会添加基本身份登录入口，详细信息请参见Authentication in kibana。 说明 如果用户不需要使用basic身份登录Kibana控制台，可在kibana.yml中不设置basic身份登录。

步骤三：提交文件

提交工单，将以下文件提交给阿里云Elasticsearch技术支持人员。

• IDaaS SAML元配置文件。技术人员会将SAML元配置文件上传至elasticsearch的config/saml路径下。

• elasticsearch.yml配置文件。技术人员会按照您提交的文件内容，在后端更新您集群的yml文件。

• kibana.yml配置文件。技术人员会按照您提交的文件内容，在后端更新您集群的yml文件。

步骤四：验证Kibana单点登录

待技术人员配置完成后，验证Kibana单点登录。

1. 进入Kibana控制台登录页面，单击Log in with saml/saml1。

   具体操作，请参见登录Kibana控制台。

2. 输入IDaaS关联的账号，单击提交。

   您可以看到已成功登录Kibana页面。