Active Directory 用户身份验证

在 elasticsearch.yml 中的 xpack.security.authc.realms.active_directory 命名空间下，添加一个类型为 active_directory 的领域配置。至少，您必须指定 Active Directory domain_name 和 order。

有关您可以为 active_directory 领域设置的所有选项，请参阅Active Directory 领域设置。

例如，以下领域配置将 Elasticsearch 配置为连接到 ldaps://example.com:636 以通过 Active Directory 验证用户身份

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0 
            domain_name: ad.example.com
            url: ldaps://ad.example.com:636 

如果您要跨林中的多个域验证用户身份，则需要额外的步骤。配置和用户身份验证方式存在一些细微差异。

将 domain_name 设置为林根域名。

您还必须设置 url 设置，因为您必须针对全局编录进行身份验证，全局编录使用不同的端口，并且可能没有在每个域控制器上运行。

例如，以下领域配置将 Elasticsearch 配置为连接到全局编录端口上的特定域控制器，并将域名设置为林根

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0
            domain_name: example.com 
            url: ldaps://dc1.ad.example.com:3269, ldaps://dc2.ad.example.com:3269 
            load_balance:
              type: "round_robin" 

在此配置中，用户将需要使用其完整的用户主体名称 (UPN) 或其降级登录名。UPN 通常是将用户名与 @<DOMAIN_NAME 连接的结果，例如 [email protected]。降级登录名是 NetBIOS 域名，后跟一个 \ 和用户名，例如 AD\johndoe。使用降级登录名需要连接到常规 LDAP 端口（389 或 636），以便查询配置容器以从 NetBIOS 名称检索域名。

（可选）配置 Elasticsearch 应如何与多个 Active Directory 服务器交互。

可以在领域级别使用 load_balance.type 设置。支持两种操作模式：故障转移和负载平衡。请参阅Active Directory 领域设置。

（可选）配置绑定用户。

Active Directory 领域使用 LDAP 绑定请求验证用户身份。默认情况下，所有 LDAP 操作都由 Elasticsearch 正在验证身份的用户运行。在某些情况下，普通用户可能无法访问 Active Directory 中的所有必需项，因此需要绑定用户。可以配置绑定用户，并将其用于执行除 LDAP 绑定请求之外的所有操作，这是验证用户提供的凭据所必需的。

使用绑定用户可以启用 以其他用户身份运行功能，以便与 Active Directory 领域一起使用，并能够维护一组与 Active Directory 的池连接。这些池连接减少了每次用户身份验证都必须创建和销毁的资源数量。

以下示例显示了通过使用 bind_dn 和 secure_bind_password 设置来配置绑定用户

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0
            domain_name: ad.example.com
            url: ldaps://ad.example.com:636
            bind_dn: [email protected] 

应该通过将相应的 secure_bind_password 设置添加到 Elasticsearch 密钥库来配置 bind_dn 用户的密码。例如，以下命令为上述示例领域添加密码

bin/elasticsearch-keystore add  \
xpack.security.authc.realms.active_directory.my_ad.secure_bind_password

配置绑定用户后，默认情况下启用连接池。可以使用 user_search.pool.enabled 设置禁用连接池。

将 Active Directory 用户和组映射到角色。

领域身份验证过程的一个组成部分是解析与已验证用户关联的角色。角色定义了用户在集群中拥有的权限。

由于使用 active_directory 领域时，用户在 Active Directory 服务器中进行外部管理，因此预期他们的角色也在那里进行管理。实际上，Active Directory 支持组的概念，这些组通常表示组织中不同系统的用户角色。

active_directory 领域使您可以通过 Active Directory 组或其他元数据将 Active Directory 用户映射到角色。可以通过 角色映射 API 或使用存储在每个节点上的文件来配置此角色映射。当用户针对 Active Directory 领域进行身份验证时，该用户的权限是用户映射到的角色定义的所有权限的并集。

在映射定义中，您可以使用其可分辨名称来指定组。例如，以下映射配置将 Active Directory admins 组映射到 monitoring 和 user 角色，将 users 组映射到 user 角色，并将 John Doe 用户映射到 user 角色。

通过角色映射 API 配置

resp = client.security.put_role_mapping(
    name="admins",
    roles=[
        "monitoring",
        "user"
    ],
    rules={
        "field": {
            "groups": "cn=admins,dc=example,dc=com"
        }
    },
    enabled=True,
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "admins",
  roles: ["monitoring", "user"],
  rules: {
    field: {
      groups: "cn=admins,dc=example,dc=com",
    },
  },
  enabled: true,
});
console.log(response);

PUT /_security/role_mapping/admins
{
  "roles" : [ "monitoring" , "user" ],
  "rules" : { "field" : {
    "groups" : "cn=admins,dc=example,dc=com" 
  } },
  "enabled": true
}

resp = client.security.put_role_mapping(
    name="basic_users",
    roles=[
        "user"
    ],
    rules={
        "any": [
            {
                "field": {
                    "groups": "cn=users,dc=example,dc=com"
                }
            },
            {
                "field": {
                    "dn": "cn=John Doe,cn=contractors,dc=example,dc=com"
                }
            }
        ]
    },
    enabled=True,
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "basic_users",
  roles: ["user"],
  rules: {
    any: [
      {
        field: {
          groups: "cn=users,dc=example,dc=com",
        },
      },
      {
        field: {
          dn: "cn=John Doe,cn=contractors,dc=example,dc=com",
        },
      },
    ],
  },
  enabled: true,
});
console.log(response);

PUT /_security/role_mapping/basic_users
{
  "roles" : [ "user" ],
  "rules" : { "any": [
    { "field" : {
      "groups" : "cn=users,dc=example,dc=com" 
    } },
    { "field" : {
      "dn" : "cn=John Doe,cn=contractors,dc=example,dc=com" 
    } }
  ] },
  "enabled": true
}

或者，通过角色映射文件配置

monitoring: 
  - "cn=admins,dc=example,dc=com" 
user:
  - "cn=users,dc=example,dc=com" 
  - "cn=admins,dc=example,dc=com"
  - "cn=John Doe,cn=contractors,dc=example,dc=com" 

有关更多信息，请参阅将用户和组映射到角色。

（可选）在 Active Directory 领域中配置 metadata 设置，以便在用户的元数据中包含其他属性。

默认情况下，用户的元数据中会填充 ldap_dn 和 ldap_groups。更多信息，请参阅 Active Directory 域中的用户元数据。