Kerberos 身份验证

部署 Kerberos。

您必须在您的环境中设置 Kerberos 基础设施。

这些说明不包括设置和配置您的 Kerberos 部署。如果提供了示例，它们与 MIT Kerberos V5 部署有关。有关更多信息，请参阅 MIT Kerberos 文档

配置 Java GSS。

Elasticsearch 使用 Java GSS 框架支持 Kerberos 身份验证。为了支持 Kerberos 身份验证，Elasticsearch 需要以下文件

配置要求取决于您的 Kerberos 设置。请参阅您的 Kerberos 文档以配置 krb5.conf 文件。

有关 Java GSS 的更多信息，请参阅 Java GSS Kerberos 要求

为 HTTP 启用 TLS。

如果您的 Elasticsearch 集群在生产模式下运行，您必须先配置 HTTP 接口以使用 SSL/TLS，然后才能启用 Kerberos 身份验证。有关更多信息，请参阅 加密 Elasticsearch 的 HTTP 客户端通信。

此步骤对于通过 Kibana 支持 Kerberos 身份验证是必要的。对于直接针对 Elasticsearch Rest API 的 Kerberos 身份验证，则不需要此步骤。

启用令牌服务

Elasticsearch Kerberos 实现利用 Elasticsearch 令牌服务。如果您在 HTTP 接口上配置 TLS，则此服务会自动启用。可以通过在 elasticsearch.yml 文件中添加以下设置来显式配置它

xpack.security.authc.token.enabled: true

此步骤对于通过 Kibana 支持 Kerberos 身份验证是必要的。对于直接针对 Elasticsearch Rest API 的 Kerberos 身份验证，则不需要此步骤。

配置 JVM 以查找 Kerberos 配置文件。

Elasticsearch 使用 Java GSS 和 JAAS Krb5LoginModule 通过简单且受保护的 GSSAPI 协商机制 (SPNEGO) 机制支持 Kerberos 身份验证。Kerberos 配置文件 (krb5.conf) 提供诸如默认域、密钥分发中心 (KDC) 以及 Kerberos 身份验证所需的其他配置详细信息等信息。当 JVM 需要某些配置属性时，它会尝试通过查找并加载此文件来找到这些值。用于配置文件路径的 JVM 系统属性是 java.security.krb5.conf。要配置 JVM 系统属性，请参阅 设置 JVM 选项。如果未指定此系统属性，Java 会尝试根据约定查找该文件。

有关更多信息，请参阅 krb5.conf

为 Elasticsearch 节点创建 keytab。

keytab 是一个存储主体和加密密钥对的文件。Elasticsearch 使用 keytab 中的密钥解密用户提供的票证。您必须使用 Kerberos 实现提供的工具为 Elasticsearch 创建 keytab。例如，一些创建 keytab 的工具是 Windows 上的 ktpass.exe 和 MIT Kerberos 的 kadmin。

将 keytab 文件放入 Elasticsearch 配置目录。

确保此 keytab 文件具有读取权限。此文件包含凭据，因此您必须采取适当的措施来保护它。

创建 Kerberos 域。

要在 Elasticsearch 中启用 Kerberos 身份验证，您必须在域链中添加一个 Kerberos 域。

要配置 Kerberos 域，您需要在 elasticsearch.yml 配置文件中配置一些强制性域设置和其他可选设置。在 xpack.security.authc.realms.kerberos 命名空间下添加域配置。

Kerberos 域最常见的配置如下

xpack.security.authc.realms.kerberos.kerb1:
  order: 3
  keytab.path: es.keytab
  remove_realm_name: false

从用户提供的票证中提取 username，通常格式为 username@REALM。此 username 用于将角色映射到用户。如果域设置 remove_realm_name 设置为 true，则会删除域部分 (@REALM)。生成的 username 用于角色映射。

有关可用域设置的详细信息，请参阅 Kerberos 域设置。

将 Kerberos 用户映射到角色。

kerberos 域允许您将 Kerberos 用户映射到角色。您可以使用 创建或更新角色映射 API 来配置这些角色映射。您可以通过其 username 字段来标识用户。

以下示例使用角色映射 API 将 user@REALM 映射到角色 monitoring 和 user

resp = client.security.put_role_mapping(
    name="kerbrolemapping",
    roles=[
        "monitoring_user"
    ],
    enabled=True,
    rules={
        "field": {
            "username": "user@REALM"
        }
    },
)
print(resp)

const response = await client.security.putRoleMapping({
  name: "kerbrolemapping",
  roles: ["monitoring_user"],
  enabled: true,
  rules: {
    field: {
      username: "user@REALM",
    },
  },
});
console.log(response);

POST /_security/role_mapping/kerbrolemapping
{
  "roles" : [ "monitoring_user" ],
  "enabled": true,
  "rules" : {
    "field" : { "username" : "user@REALM" }
  }
}

如果您想支持 Kerberos 跨域身份验证，您可能需要根据 Kerberos 域名映射角色。对于这种情况，以下是可用于角色映射的其他用户元数据：- kerberos_realm 将设置为 Kerberos 域名。 - kerberos_user_principal_name 将设置为 Kerberos 票证中的用户主体名称。

有关更多信息，请参阅 将用户和组映射到角色。