Kerberos 认证

部署 Kerberos。

您必须在您的环境中设置 Kerberos 基础设施。

这些说明不包括设置和配置您的 Kerberos 部署。在提供示例时，它们与 MIT Kerberos V5 部署相关。有关更多信息，请参阅 MIT Kerberos 文档

配置 Java GSS。

Elasticsearch 使用 Java GSS 框架支持 Kerberos 身份验证。为了支持 Kerberos 身份验证，Elasticsearch 需要以下文件

配置要求取决于您的 Kerberos 设置。请参阅您的 Kerberos 文档以配置 krb5.conf 文件。

有关 Java GSS 的更多信息，请参阅 Java GSS Kerberos 要求

为 HTTP 启用 TLS。

如果您的 Elasticsearch 集群在生产模式下运行，则必须配置 HTTP 接口以使用 SSL/TLS，然后才能启用 Kerberos 身份验证。有关更多信息，请参阅 加密 Elasticsearch 的 HTTP 客户端通信。

此步骤对于通过 Kibana 支持 Kerberos 身份验证是必要的。对于直接针对 Elasticsearch Rest API 的 Kerberos 身份验证，不需要此步骤。

启用令牌服务

Elasticsearch Kerberos 实现利用了 Elasticsearch 令牌服务。如果您在 HTTP 接口上配置了 TLS，则此服务将自动启用。可以通过在您的 elasticsearch.yml 文件中添加以下设置来显式配置它

xpack.security.authc.token.enabled: true

此步骤对于通过 Kibana 支持 Kerberos 身份验证是必要的。对于直接针对 Elasticsearch Rest API 的 Kerberos 身份验证，不需要此步骤。

配置 JVM 以查找 Kerberos 配置文件。

Elasticsearch 使用 Java GSS 和 JAAS Krb5LoginModule 通过简单和受保护的 GSSAPI 协商机制 (SPNEGO) 机制支持 Kerberos 身份验证。Kerberos 配置文件 (krb5.conf) 提供了诸如默认领域、密钥分发中心 (KDC) 和 Kerberos 身份验证所需的其他配置详细信息等信息。当 JVM 需要某些配置属性时，它会尝试通过定位和加载此文件来查找这些值。配置文件路径的 JVM 系统属性是 java.security.krb5.conf。有关配置 JVM 系统属性的信息，请参阅 设置 JVM 选项。如果未指定此系统属性，则 Java 会根据约定尝试找到该文件。

有关更多信息，请参阅 krb5.conf

为 Elasticsearch 节点创建密钥表。

密钥表是一个存储主体和加密密钥对的文件。Elasticsearch 使用密钥表中的密钥来解密用户提供的票据。您必须使用 Kerberos 实现提供的工具为 Elasticsearch 创建密钥表。例如，一些创建密钥表的工具是 Windows 上的 ktpass.exe 和 MIT Kerberos 的 kadmin。

将密钥表文件放在 Elasticsearch 配置目录中。

确保此密钥表文件具有读取权限。此文件包含凭据，因此您必须采取适当的措施来保护它。

创建 Kerberos 领域。

要在 Elasticsearch 中启用 Kerberos 身份验证，您必须在领域链中添加一个 Kerberos 领域。

要配置 Kerberos 领域，您需要在 elasticsearch.yml 配置文件中配置一些强制性领域设置和其他可选设置。在 xpack.security.authc.realms.kerberos 命名空间下添加领域配置。

Kerberos 领域的常见配置如下

xpack.security.authc.realms.kerberos.kerb1:
  order: 3
  keytab.path: es.keytab
  remove_realm_name: false

从用户提供的票据中提取 username，其格式通常为 username@REALM。此 username 用于将角色映射到用户。如果领域设置 remove_realm_name 设置为 true，则会删除领域部分 (@REALM)。生成的 username 用于角色映射。

有关可用领域设置的详细信息，请参阅 Kerberos 领域设置。

将 Kerberos 用户映射到角色。

使用 kerberos 领域，您可以将 Kerberos 用户映射到角色。您可以使用 创建或更新角色映射 API 配置这些角色映射。您可以通过其 username 字段识别用户。

以下示例使用角色映射 API 将 user@REALM 映射到角色 monitoring 和 user

resp = client.security.put_role_mapping(
    name="kerbrolemapping",
    roles=[
        "monitoring_user"
    ],
    enabled=True,
    rules={
        "field": {
            "username": "user@REALM"
        }
    },
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "kerbrolemapping",
  roles: ["monitoring_user"],
  enabled: true,
  rules: {
    field: {
      username: "user@REALM",
    },
  },
});
console.log(response);

POST /_security/role_mapping/kerbrolemapping
{
  "roles" : [ "monitoring_user" ],
  "enabled": true,
  "rules" : {
    "field" : { "username" : "user@REALM" }
  }
}

如果您想支持 Kerberos 跨领域身份验证，您可能需要根据 Kerberos 领域名称映射角色。对于此类场景，以下角色映射可用的其他用户元数据：- kerberos_realm 将设置为 Kerberos 领域名称。- kerberos_user_principal_name 将设置为 Kerberos 票据中的用户主体名称。

有关更多信息，请参阅 将用户和组映射到角色。