Kerberos 身份验证

部署 Kerberos。

您必须在您的环境中设置 Kerberos 基础设施。

这些说明不涵盖设置和配置您的 Kerberos 部署。如果提供了示例，它们与 MIT Kerberos V5 部署相关。有关更多信息，请参见 MIT Kerberos 文档

配置 Java GSS。

Elasticsearch 使用 Java GSS 框架支持 Kerberos 身份验证。为了支持 Kerberos 身份验证，Elasticsearch 需要以下文件

配置要求取决于您的 Kerberos 设置。请参阅您的 Kerberos 文档以配置 krb5.conf 文件。

有关 Java GSS 的更多信息，请参见 Java GSS Kerberos 要求

为 HTTP 启用 TLS。

如果您的 Elasticsearch 集群在生产模式下运行，您必须在启用 Kerberos 身份验证之前配置 HTTP 接口以使用 SSL/TLS。有关更多信息，请参见 加密 Elasticsearch 的 HTTP 客户端通信。

此步骤对于通过 Kibana 支持 Kerberos 身份验证是必要的。它不是直接针对 Elasticsearch Rest API 的 Kerberos 身份验证所必需的。

启用令牌服务

Elasticsearch Kerberos 实现利用了 Elasticsearch 令牌服务。如果您在 HTTP 接口上配置 TLS，则此服务会自动启用。可以通过在您的 elasticsearch.yml 文件中添加以下设置来显式配置它

xpack.security.authc.token.enabled: true

此步骤对于通过 Kibana 支持 Kerberos 身份验证是必要的。它不是直接针对 Elasticsearch Rest API 的 Kerberos 身份验证所必需的。

配置 JVM 以查找 Kerberos 配置文件。

Elasticsearch 使用 Java GSS 和 JAAS Krb5LoginModule 来支持使用简单且受保护的 GSSAPI 协商机制 (SPNEGO) 机制进行 Kerberos 身份验证。Kerberos 配置文件 (krb5.conf) 提供了信息，例如默认领域、密钥分发中心 (KDC) 以及 Kerberos 身份验证所需的其他配置详细信息。当 JVM 需要一些配置属性时，它会尝试通过定位和加载此文件来查找这些值。用于配置文件路径的 JVM 系统属性是 java.security.krb5.conf。要配置 JVM 系统属性，请参见 设置 JVM 选项。如果未指定此系统属性，Java 会尝试根据约定定位该文件。

有关更多信息，请参见 krb5.conf

为 Elasticsearch 节点创建 keytab。

keytab 是一个存储主体和加密密钥对的文件。Elasticsearch 使用 keytab 中的密钥来解密用户提供的票证。您必须使用 Kerberos 实现提供的工具为 Elasticsearch 创建 keytab。例如，一些创建 keytab 的工具是 Windows 上的 ktpass.exe 和 MIT Kerberos 的 kadmin。

将 keytab 文件放在 Elasticsearch 配置目录中。

确保此 keytab 文件具有读取权限。此文件包含凭据，因此您必须采取适当的措施来保护它。

创建 Kerberos 领域。

要在 Elasticsearch 中启用 Kerberos 身份验证，您必须在领域链中添加 Kerberos 领域。

要配置 Kerberos 领域，您需要在 elasticsearch.yml 配置文件中配置一些强制性领域设置和其他可选设置。在 xpack.security.authc.realms.kerberos 命名空间下添加领域配置。

Kerberos 领域的常见配置如下

xpack.security.authc.realms.kerberos.kerb1:
  order: 3
  keytab.path: es.keytab
  remove_realm_name: false

username 从用户提供的票证中提取，通常具有 username@REALM 格式。此 username 用于将角色映射到用户。如果领域设置 remove_realm_name 设置为 true，则会删除领域部分 (@REALM)。生成的 username 用于角色映射。

有关可用领域设置的详细信息，请参见 Kerberos 领域设置。

将 Kerberos 用户映射到角色。

kerberos 领域使您能够将 Kerberos 用户映射到角色。您可以使用 创建或更新角色映射 API 配置这些角色映射。您可以通过用户的 username 字段来识别用户。

以下示例使用角色映射 API 将 user@REALM 映射到角色 monitoring 和 user

POST /_security/role_mapping/kerbrolemapping
{
  "roles" : [ "monitoring_user" ],
  "enabled": true,
  "rules" : {
    "field" : { "username" : "user@REALM" }
  }
}

如果您想支持 Kerberos 跨领域身份验证，您可能需要根据 Kerberos 领域名称映射角色。对于此类场景，以下是在角色映射中可用的其他用户元数据： - kerberos_realm 将设置为 Kerberos 领域名称。 - kerberos_user_principal_name 将设置为 Kerberos 票证中的用户主体名称。

有关更多信息，请参见 将用户和组映射到角色。