JWT 身份验证

标头声明指示令牌类型和用于对令牌进行签名的算法。

令牌包含多个声明，这些声明提供有关签发令牌的用户以及令牌本身的信息。根据令牌类型，可以选择使用不同的声明来标识这些信息。

您可以使用创建或更新角色映射 API来定义角色映射，这些映射根据用户名、组或其他元数据确定应为每个用户分配哪些角色。

PUT /_security/role_mapping/jwt1_users?refresh=true
{
  "roles" : [ "user" ],
  "rules" : { "all" : [
      { "field": { "realm.name": "jwt1" } },
      { "field": { "username": "principalname1" } },
      { "field": { "dn": "CN=Principal Name 1,DC=example.com" } },
      { "field": { "groups": "group1" } },
      { "field": { "metadata.jwt_claim_other": "other1" } }
  ] },
  "enabled": true
}

如果在 JWT 领域中使用此 API，则以下声明可用于角色映射

如果您从 JWT 领域将授权委托给其他领域，则只有 principal 声明可用于角色查找。将角色的分配和查找从 JWT 领域委托给另一个领域时，dn、groups、mail、metadata 和 name 的声明不会用作 Elasticsearch 用户的值。只有 JWT principal 声明会传递到委托的授权领域。负责授权的领域（而不是 JWT 领域）负责填充所有 Elasticsearch 用户的值。

以下示例显示了如何在 elasticsearch.yml 文件中定义从 JWT 领域到多个其他领域的委托授权。名为 jwt2 的 JWT 领域正在将授权委托给多个领域

xpack.security.authc.realms.jwt.jwt2.authorization_realms: file1,native1,ldap1,ad1

然后，您可以使用创建或更新角色映射 API将角色映射到授权领域。以下示例在 native1 领域中为 principalname1 JWT principal 映射角色。

PUT /_security/role_mapping/native1_users?refresh=true
{
  "roles" : [ "user" ],
  "rules" : { "all" : [
      { "field": { "realm.name": "native1" } },
      { "field": { "username": "principalname1" } }
  ] },
  "enabled": true
}

如果领域 jwt2 使用 JWT 成功地对 principal 为 principalname1 的客户端进行身份验证，并将授权委托给列出的领域之一（例如 native1），则该领域可以查找 Elasticsearch 用户的值。使用此定义的角色映射，该领域还可以查找链接到领域 native1 的此角色映射规则。

Elasticsearch 可以通过角色映射或委托授权来检索 JWT 用户的角色。无论您选择哪种选项，都可以将run_as 特权应用于角色，以便用户可以提交经过身份验证的请求以“作为”另一个用户运行。要作为另一个用户提交请求，请在请求中包含 es-security-runas-user 标头。请求将像从该用户发出一样运行，并且 Elasticsearch 将使用其角色。

例如，假设有一个用户名为 user123_runas 的用户。以下请求创建一个名为 jwt_role1 的用户角色，该角色指定了一个用户名为 user123_runas 的 run_as 用户。任何具有 jwt_role1 角色的用户都可以作为指定的 run_as 用户发出请求。

POST /_security/role/jwt_role1?refresh=true
{
  "cluster": ["manage"],
  "indices": [ { "names": [ "*" ], "privileges": ["read"] } ],
  "run_as": [ "user123_runas" ],
  "metadata" : { "version" : 1 }
}

然后，您可以将该角色映射到特定领域中的用户。以下请求将 jwt_role1 角色映射到 jwt2 JWT 领域中用户名为 user2 的用户。这意味着 Elasticsearch 将使用 jwt2 领域对名为 user2 的用户进行身份验证。因为 user2 具有包含 run_as 特权的角色（jwt_role1 角色），所以 Elasticsearch 会检索 user123_runas 用户的角色映射，并使用该用户的角色来提交请求。

POST /_security/role_mapping/jwt_user1?refresh=true
{
  "roles": [ "jwt_role1"],
  "rules" : { "all" : [
      { "field": { "realm.name": "jwt2" } },
      { "field": { "username": "user2" } }
  ] },
  "enabled": true,
  "metadata" : { "version" : 1 }
}

映射角色后，您可以使用 JWT 对 Elasticsearch 进行身份验证调用，并在其中包含 ES-Client-Authentication 标头

curl -s -X GET -H "Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOlsiZXMwMSIsImVzMDIiLCJlczAzIl0sInN1YiI6InVzZXIyIiwiaXNzIjoibXktaXNzdWVyIiwiZXhwIjo0MDcwOTA4ODAwLCJpYXQiOjk0NjY4NDgwMCwiZW1haWwiOiJ1c2VyMkBzb21ldGhpbmcuZXhhbXBsZS5jb20ifQ.UgO_9w--EoRyUKcWM5xh9SimTfMzl1aVu6ZBsRWhxQA" -H "ES-Client-Authentication: sharedsecret test-secret" https://127.0.0.1:9200/_security/_authenticate

响应包括提交请求的用户（user2），以及您在 JWT 领域中映射到此用户的 jwt_role1 角色。

{"username":"user2","roles":["jwt_role1"],"full_name":null,"email":"[email protected]",
"metadata":{"jwt_claim_email":"[email protected]","jwt_claim_aud":["es01","es02","es03"],
"jwt_claim_sub":"user2","jwt_claim_iss":"my-issuer"},"enabled":true,"authentication_realm":
{"name":"jwt2","type":"jwt"},"lookup_realm":{"name":"jwt2","type":"jwt"},"authentication_type":"realm"}
%

如果您想将请求指定为 run_as 用户，请在 es-security-runas-user 标头中包含您希望以其身份提交请求的用户名。以下请求使用 user123_runas 用户。

curl -s -X GET -H "Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOlsiZXMwMSIsImVzMDIiLCJlczAzIl0sInN1YiI6InVzZXIyIiwiaXNzIjoibXktaXNzdWVyIiwiZXhwIjo0MDcwOTA4ODAwLCJpYXQiOjk0NjY4NDgwMCwiZW1haWwiOiJ1c2VyMkBzb21ldGhpbmcuZXhhbXBsZS5jb20ifQ.UgO_9w--EoRyUKcWM5xh9SimTfMzl1aVu6ZBsRWhxQA" -H "ES-Client-Authentication: sharedsecret test-secret" -H "es-security-runas-user: user123_runas" https://127.0.0.1:9200/_security/_authenticate

在响应中，您将看到 user123_runas 用户提交了请求，并且 Elasticsearch 使用了 jwt_role1 角色。

{"username":"user123_runas","roles":["jwt_role1"],"full_name":null,"email":null,"metadata":{},
"enabled":true,"authentication_realm":{"name":"jwt2","type":"jwt"},"lookup_realm":{"name":"native",
"type":"native"},"authentication_type":"realm"}%

JWT 身份验证支持使用 PKC（公钥加密）或 HMAC 算法进行签名验证。

PKC JSON Web 密钥集 (JWKS) 可以包含 RSA 和 EC 公钥。HMAC JWKS 或 HMAC UTF-8 JWK 包含密钥。JWT 颁发者通常更频繁地轮换 PKC JWKS（例如每天），因为与 HMAC 等密钥相比，RSA 和 EC 公钥更容易分发。

JWT 领域在启动时加载 PKC JWKS 和 HMAC JWKS 或 HMAC UTF-8 JWK。JWT 领域还可以在运行时重新加载 PKC JWKS 内容；重新加载由签名验证失败触发。

加载失败、解析错误和配置错误会阻止节点启动（和重新启动）。但是，运行时 PKC 重新加载错误和恢复可以正常处理。

在签名失败触发 PKC JWKS 重新加载之前，会检查所有其他 JWT 领域验证。如果在单个 Elasticsearch 节点中同时发生多个 JWT 身份验证签名失败，则会合并重新加载以减少外部发送的重新加载次数。

如果 JWT 签名失败触发以下情况，则无法合并单独的重新加载请求：

以下值适用于定制 JWT 颁发者。

Issuer:     iss8
Audiences:  aud8
Algorithms: HS256
HMAC UTF-8: hmac-oidc-key-string-for-hs256-algorithm

要定义 JWT 领域，请将以下领域设置添加到 elasticsearch.yml。

xpack.security.authc.realms.jwt.jwt8.order: 8 
xpack.security.authc.realms.jwt.jwt8.allowed_issuer: iss8
xpack.security.authc.realms.jwt.jwt8.allowed_audiences: [aud8]
xpack.security.authc.realms.jwt.jwt8.allowed_signature_algorithms: [HS256]
xpack.security.authc.realms.jwt.jwt8.claims.principal: sub
xpack.security.authc.realms.jwt.jwt8.client_authentication.type: shared_secret

定义领域设置后，使用 elasticsearch-keystore 工具将以下安全设置添加到 Elasticsearch 密钥库。在 Elastic Cloud 中，您可以在部署的安全下定义 Elasticsearch 密钥库的设置。

xpack.security.authc.realms.jwt.jwt8.hmac_key: hmac-oidc-key-string-for-hs256-algorithm
xpack.security.authc.realms.jwt.jwt8.client_authentication.shared_secret: client-shared-secret-string

以下请求为用户 principalname1 在 jwt8 领域中创建 Elasticsearch 的角色映射。

PUT /_security/role_mapping/jwt8_users?refresh=true
{
  "roles" : [ "user" ],
  "rules" : { "all" : [
      { "field": { "realm.name": "jwt8" } },
      { "field": { "username": "principalname1" } }
  ] },
  "enabled": true
}

以下标头设置适用于 Elasticsearch 客户端。

Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJpc3M4IiwiYXVkIjoiYXVkOCIsInN1YiI6InNlY3VyaXR5X3Rlc3RfdXNlciIsImV4cCI6NDA3MDkwODgwMCwiaWF0Ijo5NDY2ODQ4MDB9.UnnFmsoFKfNmKMsVoDQmKI_3-j95PCaKdgqqau3jPMY
ES-Client-Authentication: SharedSecret client-shared-secret-string

您可以在 curl 请求中使用此标头对 Elasticsearch 进行身份验证调用。承载令牌和客户端授权令牌必须使用 -H 选项指定为单独的标头。

curl -s -X GET -H "Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJpc3M4IiwiYXVkIjoiYXVkOCIsInN1YiI6InNlY3VyaXR5X3Rlc3RfdXNlciIsImV4cCI6NDA3MDkwODgwMCwiaWF0Ijo5NDY2ODQ4MDB9.UnnFmsoFKfNmKMsVoDQmKI_3-j95PCaKdgqqau3jPMY" -H "ES-Client-Authentication: SharedSecret client-shared-secret-string" https://127.0.0.1:9200/_security/_authenticate

如果您在 JWT 领域中使用了角色映射，则响应将包括用户的 username、他们的 roles、有关用户的元数据以及有关 JWT 领域本身的详细信息。

{"username":"user2","roles":["jwt_role1"],"full_name":null,"email":"[email protected]",
"metadata":{"jwt_claim_email":"[email protected]","jwt_claim_aud":["es01","es02","es03"],
"jwt_claim_sub":"user2","jwt_claim_iss":"my-issuer"},"enabled":true,"authentication_realm":
{"name":"jwt2","type":"jwt"},"lookup_realm":{"name":"jwt2","type":"jwt"},"authentication_type":"realm"}