x-pack 用户、角色、权限、说明及操作

三个内置账号

usernamerole权限
elasticsuperuser内置的超级用户
kibanakibana_system用户kibana用来连接elasticsearch并与之通信。Kibana服务器以该用户身份提交请求以访问集群监视API和 .kibana索引。不能访问index。
logstash_systemlogstash_system用户Logstash在Elasticsearch中存储监控信息时使用

角色管理API: 
https://www.elastic.co/guide/en/elasticsearch/reference/6.3/security-api-roles.html 
用户管理API: 
https://www.elastic.co/guide/en/elasticsearch/reference/6.3/security-api-users.html 
将用户和组映射到角色API: 
https://www.elastic.co/guide/en/x-pack/6.3/mapping-roles.html#ldap-role-mapping 
设置字段和文档级别的安全性: 
https://www.elastic.co/guide/en/x-pack/6.3/field-and-document-access-control.html 
安全特权 
https://www.elastic.co/guide/en/x-pack/6.3/security-privileges.html#privileges-list-cluster

x-pack内置角色 

https://www.elastic.co/guide/en/x-pack/6.3/built-in-roles.html 

 

Security模块的使用: 

方式一:界面操作 
kibana-> management -> security模块 

方式二:DSL语句基于角色的访问控制

 

eg:
POST /_xpack/security/role/rolename
{
  "run_as": [ "clicks_watcher_1" ]
  "cluster": [ "monitor" ],
  "indices": [
    {
      "names": [ "events-*" ],
      "privileges": [ "read" ],
      "field_security" : {
        "grant" : [ "category", "@timestamp", "message" ]
      },
      "query": "{\"match\": {\"category\": \"click\"}}"
    }
  ]
}

Security-Roles权限

ingest_admin授予访问权限以管理所有索引模板和所有摄取管道配置。这个角色不能提供创建索引的能力; 这些特权必须在一个单独的角色中定义。
kibana_dashboard_only_user授予对Kibana仪表板的访问权限以及对.kibana索引的只读权限。 这个角色无法访问Kibana中的编辑工具。
kibana_system授予Kibana系统用户读取和写入Kibana索引所需的访问权限,管理索引模板并检查Elasticsearch集群的可用性。 此角色授予对.monitoring- 索引的读取访问权限以及对.reporting- 索引的读取和写入访问权限。
kibana_user授予Kibana用户所需的最低权限。 此角色授予访问集群的Kibana索引和授予监视权限。
logstash_admin授予访问用于管理配置的.logstash *索引的权限。
logstash_system授予Logstash系统用户所需的访问权限,以将系统级别的数据(如监视)发送给Elasticsearch。不应将此角色分配给用户,因为授予的权限可能会在不同版本之间发生变化。此角色不提供对logstash索引的访问权限,不适合在Logstash管道中使用。
machine_learning_admin授予manage_ml群集权限并读取.ml- *索引的访问权限。
machine_learning_user授予查看X-Pack机器学习配置,状态和结果所需的最低权限。此角色授予monitor_ml集群特权,并可以读取.ml-notifications和.ml-anomalies *索引,以存储机器学习结果
monitoring_user授予除使用Kibana所需的X-Pack监视用户以外的任何用户所需的最低权限。 这个角色允许访问监控指标。 监控用户也应该分配kibana_user角色
remote_monitoring_agent授予远程监视代理程序将数据写入此群集所需的最低权限
reporting_user授予使用Kibana所需的X-Pack报告用户所需的特定权限。 这个角色允许访问报告指数。 还应该为报告用户分配kibana_user角色和一个授予他们访问将用于生成报告的数据的角色。 
superuser #授予对群集的完全访问权限,包括所有索引和数据。 具有超级用户角色的用户还可以管理用户和角色,并模拟系统中的任何其他用户。 由于此角色的宽容性质,在将其分配给用户时要格外小心
transport_client通过Java传输客户端授予访问集群所需的权限。 Java传输客户端使用节点活性API和群集状态API(当启用嗅探时)获取有关群集中节点的信息。 如果他们使用传输客户端,请为您的用户分配此角色。使用传输客户端有效地意味着用户被授予访问群集状态的权限。这意味着用户可以查看所有索引,索引模板,映射,节点以及集群基本所有内容的元数据。但是,此角色不授予查看所有索引中的数据的权限
watcher_admin授予对.watches索引的写入权限,读取对监视历史记录的访问权限和触发的监视索引,并允许执行所有监视器操作
watcher_user授予读取.watches索引,获取观看动作和观察者统计信息的权限

cluster权限,可以分配给角色的权限

权限详情
all所有集群管理操作,如快照,节点关闭/重新启动,设置更新,重新路由或管理用户和角色
monitor所有集群只读操作,如集群运行状况,热线程,节点信息,节点和集群统计信息,快照/恢复状态,等待集群任务
monitor_ml所有只读机器学习操作,例如获取有关数据传输,作业,模型快照或结果的信息
monitor_watcher所有只读操作,例如获取watch和watcher统计信息
manage构建monitor并添加更改集群中值的集群操作。这包括快照,更新设置和重新路由。此特权不包括管理安全性的能力
manage_index_templates索引模板上的所有操作
manage_ml所有机器学习操作,例如创建和删除数据传输,作业和模型快照。数据处理以具有提升特权的系统用户身份运行,包括读取所有索引的权限
manage_pipeline摄取管道的所有操作
manage_security所有与安全相关的操作,例如对用户和角色的CRUD操作以及缓存清除
manage_watcher所有观察者操作,例如放置watches,执行,激活或确认。Watches作为具有提升特权的系统用户运行,包括读取和写入所有索引的权限。Watches作为具有提升特权的系统用户运行,包括读取和写入所有索引的权限
transport_client传输客户端连接所需的所有权限。远程群集需要启用跨级群搜索

indices权限

权限详情
all索引上的任何操作
monitor监控所需的所有操作(恢复,细分信息,索引统计信息和状态)
manage所有monitor特权加索引管理(别名,分析,缓存清除,关闭,删除,存在,刷新,映射,打开,强制合并,刷新,设置,搜索分片,模板,验证)
view_index_metadata对索引元数据(别名,别名存在,获取索引,存在,字段映射,映射,搜索分片,类型存在,验证,warmers,设置)进行只读访问。此特权主要供Kibana用户使用
read只读操作(计数,解释,获取,mget,获取索引脚本,更多像这样,多渗透/搜索/ termvector,渗透,滚动,clear_scroll,搜索,建议,tv)
read_cross_cluster只读访问来自远程集群的搜索操作
index索引和更新文件。还授予对更新映射操作的访问权限
create索引文件。还授予对更新映射操作的访问权限
delete删除文件
write对文档执行所有写入操作的权限,包括索引,更新和删除文档以及执行批量操作的权限。还授予对更新映射操作的访问权限
delete_index删除索引
create_index创建索引。创建索引请求可能包含在创建索引时添加到索引的别名。在这种情况下,该请求最好有manage权限,同时设置索引和别名

转载地址:https://blog.csdn.net/sinat_37690778/article/details/79851645

    原文作者:蘑菇baba
    原文地址: https://blog.csdn.net/wsq_strive/article/details/80926432
    本文转自网络文章,转载此文章仅为分享知识,如有侵权,请联系博主进行删除。
点赞