发布所需权限和角色

编辑

将事件发布到 Elasticsearch 的用户需要创建并写入 Packetbeat 索引。为了最大限度地减少写入角色所需的权限,请使用 设置角色 预加载依赖项。本节假设您已运行设置。

使用 ILM 时,在运行 Packetbeat 发布事件之前,请在 Packetbeat 配置文件中关闭 ILM 设置检查。

setup.ilm.check_exists: false

授予所需权限

  1. 创建一个名为 写入角色(例如 packetbeat_writer),该角色具有以下权限:

    在每种配置中都需要 monitor 集群权限以及 packetbeat-* 索引上的 create_docauto_configure 权限。

    类型 权限 用途

    集群

    monitor

    检索集群详细信息(例如版本)

    集群

    read_ilm

    连接到支持 ILM 的集群时读取 ILM 策略。当 setup.ilm.check_existsfalse 时,无需此权限。

    索引

    packetbeat-* 索引上的 create_doc

    将事件写入 Elasticsearch

    索引

    packetbeat-* 索引上的 auto_configure

    更新数据流映射。考虑完全禁用或将规则 -{beat_default_index_prefix}-* 添加到集群设置 action.auto_create_index,以防止代理创建不需要的索引。

    省略在您的环境中不相关的任何权限。

  2. 写入角色 分配给将事件索引到 Elasticsearch 的用户。