基于open_distro的ES用户管理（认证）

背景

open distro for elasticsearch 是由亚马逊AWS支持的基于Apache License,Version 2.0协议的100%开源的Elasticsearch发行版。与Elastic公司官方的Elasticsearch版本最大的区别是:剔除了基于elastic协议发布的xpack插件,增加了开源插件。新增插件功能包括安全、告警、索引生命周期管理、性能分析、SQL等企业级功能。简单理解就是集成了开源版xpack插件的elasticsearch。

用户认证

和xpack一样open distro也提供了security插件，实现加密通信、用户登陆认证、操作授权、文档和字段级别访问控制、日志审计等企业级安全功能。opendisro_security插件也支持有internaldatabase、Active Directory, LDAP,OpenID Connect 等多种后台认证服务组成的认证链。默认采用internaldatabase方式实现用户管理，内部的用户数据、权限数据、角色数据存储在ES集群的.opendistro_security索引中，和xpack的native realms 类似。系统默认初始化的用户有：

admin 超级管理员
readall 只读帐号
logstash logstash连接es时的后台帐号
kibanaserver kibana连接es时的后台帐号
kibanaro kibana只读帐号，不能修改kibana可视化面板
snapshotrestore 快照备份恢复帐号

用户管理的方式

opendisro_security插件默认支持三种用户管理方式：配置文件、kibana图形化界面、API命令

配置文件
- 应用场景：适合Elasticsearch安装后初始化用户数据，不适合后续业务管理。
- 操作方法：
  - 第一步，在ES_HOME/plugins/opendistro_security/securityconfig/中编辑internal_users.yml、roles_maping.yml、roles.yml 文件中的用户、角色和权限数据
  - 第二步，启动Elasticsearch服务
  - 第三步，运行plugins/opendistro_security/tools/securityadmin.sh 脚本将数据更新到.opendistro_security 索引中
kibana图形化界面
- 应用场景: 适合生产环境运维人员做人员管理
- 操作方法:
  - 第一步, 安装并启动opendistrroforelasticsearch-kibana 版本的kibana
  - 第二步, 在 security 模块添加用户和角色
API 命令
- 应用场景: 以上两种方式做用户管理时，不方便项目管理，不能用git等版本管理追踪到项目的全量和增量脚本,API 方式很好的弥补了这个问题.

常用的用户管理API

查看用户

GET _opendistro/_security/api/internalusers

新建用户

PUT _opendistro/_security/api/internalusers/wangzhen
{
  "password":"6789@jkl",
  "backend_roles":[],
  "attributes":{
    "age":18
  }
}

#响应
{
  "status" : "CREATED",
  "message" : "'wangzhen' created."
}

修改用户

官方推荐的PATCH 方法修改用户并不能成功,并报错

PATCH _opendistro/_security/api/internalusers/wangzhen
{
  "op":"replace",
  "path":"/backend_roles",
  "value":["admin"]
}

应该使用和新建用户一样的方法,且可以更新密码:

PUT _opendistro/_security/api/internalusers/wangzhen
{
  "password":"6789@jkl",
  "backend_roles":["admin"],
  "attributes":{
    "age":18
  }
}

#响应
{
  "status" : "OK",
  "message" : "'wangzhen' updated."
}

删除用户

DELETE /_opendistro/_security/api/internalusers/wangzhen

#响应
{
  "status" : "OK",
  "message" : "'wangzhen' deleted."
}