Active Directory 用户身份验证

在 xpack.security.authc.realms.active_directory 命名空间下，将类型为 active_directory 的域配置添加到 elasticsearch.yml 中。至少，您必须指定 Active Directory domain_name 和 order。

请参阅 Active Directory 域设置，了解您可以为 active_directory 域设置的所有选项。

例如，以下域配置将 Elasticsearch 配置为连接到 ldaps://example.com:636 以通过 Active Directory 验证用户

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0 
            domain_name: ad.example.com
            url: ldaps://ad.example.com:636 

如果您要跨森林中的多个域验证用户，则需要执行额外的步骤。配置和用户身份验证方式之间存在一些细微差别。

将 domain_name 设置设置为森林根域名称。

您还必须设置 url 设置，因为您必须针对全局目录进行身份验证，全局目录使用不同的端口，并且可能不会在每个域控制器上运行。

例如，以下域配置将 Elasticsearch 配置为连接到全局目录端口上的特定域控制器

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0
            domain_name: example.com 
            url: ldaps://dc1.ad.example.com:3269, ldaps://dc2.ad.example.com:3269 
            load_balance:
              type: "round_robin" 

在此配置中，用户需要使用其完整的用户主体名称 (UPN) 或其向下兼容登录名。UPN 通常是用户名与 @<DOMAIN_NAME 的串联，例如 [email protected]。向下兼容登录名是 NetBIOS 域名称，后跟一个 \ 和用户名，例如 AD\johndoe。使用向下兼容登录名需要连接到常规 LDAP 端口（389 或 636）才能查询配置容器以从 NetBIOS 名称中检索域名称。

(可选) 配置 Elasticsearch 如何与多个 Active Directory 服务器交互。

可以在域级别使用 load_balance.type 设置。支持两种操作模式：故障转移和负载均衡。请参阅 Active Directory 域设置。

(可选) 配置绑定用户。

Active Directory 域使用 LDAP 绑定请求验证用户。默认情况下，所有 LDAP 操作都由 Elasticsearch 正在验证的用户运行。在某些情况下，普通用户可能无法访问 Active Directory 中的所有必需项，因此需要绑定用户。可以配置绑定用户，并将其用于执行除 LDAP 绑定请求之外的所有操作，LDAP 绑定请求是验证用户提供的凭据所必需的。

使用绑定用户可以使 以其他用户身份运行功能 与 Active Directory 域一起使用，并能够维护一组连接到 Active Directory 的池化连接。这些池化连接减少了每次用户身份验证时必须创建和销毁的资源数量。

以下示例显示了通过使用 bind_dn 和 secure_bind_password 设置来配置绑定用户的示例

xpack:
  security:
    authc:
      realms:
        active_directory:
          my_ad:
            order: 0
            domain_name: ad.example.com
            url: ldaps://ad.example.com:636
            bind_dn: [email protected] 

应通过将适当的 secure_bind_password 设置添加到 Elasticsearch 密钥库来配置 bind_dn 用户的密码。例如，以下命令添加了上面示例域的密码

bin/elasticsearch-keystore add  \
xpack.security.authc.realms.active_directory.my_ad.secure_bind_password

配置绑定用户后，默认情况下会启用连接池。可以使用 user_search.pool.enabled 设置禁用连接池。

将 Active Directory 用户和组映射到角色。

域身份验证过程的一个组成部分是解析与已验证用户关联的角色。角色定义用户在集群中的权限。

由于使用 active_directory 域，用户是在 Active Directory 服务器中外部管理的，因此预期他们的角色也在那里管理。实际上，Active Directory 支持组的概念，组通常代表组织中不同系统的用户角色。

active_directory 域使您能够通过 Active Directory 组或其他元数据将 Active Directory 用户映射到角色。可以通过 角色映射 API 或使用存储在每个节点上的文件来配置此角色映射。当用户针对 Active Directory 域进行身份验证时，该用户的权限是映射到该用户的角色定义的所有权限的并集。

在映射定义中，您使用其区分名称指定组。例如，以下映射配置将 Active Directory admins 组映射到 monitoring 和 user 角色，将 users 组映射到 user 角色，并将 John Doe 用户映射到 user 角色。

通过角色映射 API 配置

PUT /_security/role_mapping/admins
{
  "roles" : [ "monitoring" , "user" ],
  "rules" : { "field" : {
    "groups" : "cn=admins,dc=example,dc=com" 
  } },
  "enabled": true
}

PUT /_security/role_mapping/basic_users
{
  "roles" : [ "user" ],
  "rules" : { "any": [
    { "field" : {
      "groups" : "cn=users,dc=example,dc=com" 
    } },
    { "field" : {
      "dn" : "cn=John Doe,cn=contractors,dc=example,dc=com" 
    } }
  ] },
  "enabled": true
}

或者，通过角色映射文件配置

monitoring: 
  - "cn=admins,dc=example,dc=com" 
user:
  - "cn=users,dc=example,dc=com" 
  - "cn=admins,dc=example,dc=com"
  - "cn=John Doe,cn=contractors,dc=example,dc=com" 

有关更多信息，请参阅 将用户和组映射到角色。

(可选) 在 Active Directory 域中配置 metadata 设置以在用户的元数据中包含额外的属性。

默认情况下，ldap_dn 和 ldap_groups 将填充到用户的元数据中。有关更多信息，请参阅 Active Directory 域中的用户元数据。