› › ›

基于文件的用户身份验证

您可以使用内置的 file 领域来管理和验证用户。使用 file 领域，用户在集群中每个节点上的本地文件中定义。

作为集群的管理员，您有责任确保集群中的每个节点上都定义了相同的用户。Elastic Stack 安全功能不提供任何机制来保证这一点。您还应该知道，您无法通过用户 API 在 file 领域中添加或管理用户，也无法在 Kibana 的 管理 / 安全 / 用户 页面中添加或管理用户。

file 领域作为回退或恢复领域非常有用。例如，在集群无响应或安全索引不可用，或者您忘记了管理用户的密码的情况下。在这种情况下，file 领域是一种方便的解决方法 - 您可以在 file 领域中定义一个新的 admin 用户，并使用它登录并重置所有其他用户的凭据。

要定义用户，安全功能提供了 users 命令行工具。此工具使您可以添加和删除用户、分配用户角色以及管理用户密码。

配置文件领域

编辑

您无需显式配置 file 领域。file 和 native 领域默认会添加到领域链中。除非另有配置，否则 file 领域首先添加，然后是 native 领域。

虽然可以定义多个其他领域的实例，但每个节点只能定义一个 file 领域。

关于 file 领域的用户的所有数据都存储在集群中每个节点上的两个文件中：users 和 users_roles。这两个文件都位于 ES_PATH_CONF 中，并在启动时读取。

users 和 users_roles 文件由节点本地管理，并且不是由集群全局管理。这意味着对于典型的多节点集群，需要在集群中的每个节点上应用完全相同的更改。

更安全的方法是在其中一个节点上应用更改，并将文件分发或复制到集群中的所有其他节点（手动或使用配置管理系统，例如 Puppet 或 Chef）。

（可选）在 xpack.security.authc.realms.file 命名空间下，向 elasticsearch.yml 添加领域配置。至少，您必须设置该领域的 order 属性。

例如，以下代码片段显示了一个 file 领域配置，该配置将 order 设置为零，以便首先检查该领域
```
xpack:
  security:
    authc:
      realms:
        file:
          file1:
            order: 0
```
您只能在 Elasticsearch 节点上配置一个文件领域。
重启 Elasticsearch。
将用户信息添加到集群中每个节点上的 ES_PATH_CONF/users 文件中。

users 文件存储所有用户及其密码。文件中的每一行代表一个单独的用户条目，其中包含用户名和哈希和加盐的密码。
```
rdeniro:$2a$10$BBJ/ILiyJ1eBTYoRKxkqbuDEdYECplvxnqQ47uiowE7yGqvCEgj9W
alpacino:$2a$10$cNwHnElYiMYZ/T3K4PvzGeJ1KbpXZp2PfoQD.gfaVdImnHOwIuBKS
jacknich:{PBKDF2}50000$z1CLJt0MEFjkIK5iEfgvfnA6xq7lF25uasspsTKSo5Q=$XxCVLbaKDimOdyWgLCLJiyoiWpA/XDMe/xtVgn1r5Sg=
```
为了限制凭据盗窃和缓解凭据泄露，文件领域根据安全最佳实践存储密码和缓存用户凭据。默认情况下，使用加盐的 sha-256 哈希算法将用户凭据的哈希版本存储在内存中，并将密码的哈希版本存储在磁盘上，并使用 bcrypt 哈希算法进行加盐和哈希。要使用不同的哈希算法，请参阅用户缓存和密码哈希算法。

虽然可以使用任何标准文本编辑器直接修改 users 文件，但我们强烈建议使用 elasticsearch-users 工具来应用所需的更改。

作为集群的管理员，您有责任确保集群中的每个节点上都定义了相同的用户。Elasticsearch 安全功能不提供任何机制来保证这一点。
将角色信息添加到集群中每个节点上的 ES_PATH_CONF/users_roles 文件中。

users_roles 文件存储与用户关联的角色。例如
```
admin:rdeniro
power_user:alpacino,jacknich
user:jacknich
```
每一行将一个角色映射到与该角色关联的所有用户的逗号分隔列表。

您可以使用 elasticsearch-users 工具来更新此文件。您必须确保在集群中的每个节点上都进行相同的更改。
（可选）更改检查 users 和 users_roles 文件的频率。

默认情况下，Elasticsearch 每 5 秒检查这些文件是否有更改。您可以通过更改 elasticsearch.yml 文件中的 resource.reload.interval.high 设置来更改此默认行为（由于这是 Elasticsearch 中的常见设置，更改其值可能会影响系统中的其他计划）。

« Active Directory 用户身份验证 LDAP 用户身份验证 »