Elasticsearch 中如何配置 RBAC 权限-实现安全的访问控制

在开始配置之前，请确保：

• Elasticsearch 已启用安全功能（需要 X-Pack 或 Elastic Stack 的安全模块，通常在商业许可证或试用版中可用）。

• 安装了 Elasticsearch 和 Kibana（本文以 8.x 版本为例）。

• 具备管理员权限，能够访问 Kibana 或 Elasticsearch 的 API。

xpack.security.enabled: true

bin/elasticsearch-setup-passwords auto

配置 RBAC 可以通过 Kibana 的图形界面或 Elasticsearch 的 REST API 完成。推荐使用 Kibana，因为它提供了直观的界面。

• 通过 Kibana：登录 Kibana，使用 elastic 用户的凭据，进入 Stack Management > Security 模块。

• 通过 API：使用 curl 或其他工具调用 Elasticsearch 的安全 API（例如 _security 端点）。

角色定义了用户可以执行的操作和访问的资源。在 Kibana 中，导航到 Stack Management > Roles，点击 Create role，或使用 API 创建角色。

示例：为日志分析师创建角色

假设我们需要为日志分析师创建一个角色，允许其只读访问 log-* 索引：

Kibana 配置：

1. 角色名称：log_analyst

2. 集群权限：选择 monitor（允许查看集群状态）。

1. 索引权限：

2. 索引模式：log-*

3. 权限：read、view_index_metadata

4. 保存角色。

API 配置：使用以下 API 请求创建角色：

curl -X POST "http://localhost:9200/_security/role/log_analyst" -u elastic:password -H "Content-Type: application/json" -d'
{
  "cluster": ["monitor"],
  "indices": {
    "log-*": {
      "privileges": ["read", "view_index_metadata"]
    }
  }
}'

创建用户并将角色分配给用户。可以通过 Kibana 或 API 完成。

Kibana 配置：

1. 导航到 Stack Management > Users，点击 Create user。

2. 输入用户名（例如 analyst1）、密码，并选择角色 log_analyst。

3. 保存用户。

API 配置：创建用户并分配角色：

curl -X POST "http://localhost:9200/_security/user/analyst1" -u elastic:password -H "Content-Type: application/json" -d'
{
  "password": "your_secure_password",
  "roles": ["log_analyst"],
  "full_name": "Log Analyst 1",
  "email": "analyst1@example.com"
}'

使用新创建的用户登录 Kibana 或通过 API 测试权限。例如，analyst1 用户应该能够查询 log-* 索引，但无法修改数据或访问其他索引。

测试查询：

curl -X GET "http://localhost:9200/log-*/_search" -u analyst1:your_secure_password

Elasticsearch 的 RBAC 支持更细粒度的控制，例如：

• 文档级权限：通过 query 参数限制用户访问特定文档。例如，只允许用户查看 department:HR 的文档。

"indices": {
  "log-*": {
    "privileges": ["read"],
    "query": "{\"term\": {\"department\": \"HR\"}}"
  }
}

"indices": {
  "log-*": {
    "privileges": ["read"],
    "field_security": {
      "grant": ["message", "timestamp"]
    }
  }
}