使用 OpenID Connect 配置 Elastic Stack 的单点登录

OpenID Connect 提供程序 (OP) 是 OpenID Connect 中负责对用户进行身份验证并授予必要令牌的实体，这些令牌包含依赖方要使用的身份验证和用户信息。

为了使 Elastic Stack 能够使用您的 OpenID Connect 提供程序进行身份验证，需要在 OP 和 RP 之间建立信任关系。在 OpenID Connect 提供程序中，这意味着将 RP 注册为客户端。OpenID Connect 定义了一个动态客户端注册协议，但这通常面向实时客户端注册，而不是跨安全域单点登录的信任建立过程。所有 OP 还允许通过用户界面或（较少情况下）通过使用元数据文档来手动注册 RP 作为客户端。

注册 Elastic Stack RP 的过程因 OP 而异，遵循提供程序的相关文档是谨慎的做法。您通常需要为注册提供的 RP 信息如下：

在注册过程结束时，OP 将为 RP（Elastic Stack）分配一个客户端标识符和一个客户端密钥以供使用。请记下这两个值，因为它们将在 Elasticsearch 配置中使用。

以下是启用 Elasticsearch 中使用 OpenID Connect 进行身份验证所需的配置步骤摘要：

xpack.security.authc.token.enabled: true

xpack.security.authc.realms.oidc.oidc1:
  order: 2
  rp.client_id: "the_client_id"
  rp.response_type: code
  rp.redirect_uri: "https://kibana.example.org:5601/api/security/oidc/callback"
  op.issuer: "https://op.example.org"
  op.authorization_endpoint: "https://op.example.org/oauth2/v1/authorize"
  op.token_endpoint: "https://op.example.org/oauth2/v1/token"
  op.jwkset_path: oidc/jwkset.json
  op.userinfo_endpoint: "https://op.example.org/oauth2/v1/userinfo"
  op.endsession_endpoint: "https://op.example.org/oauth2/v1/logout"
  rp.post_logout_redirect_uri: "https://kibana.example.org:5601/security/logged_out"
  claims.principal: sub
  claims.groups: "http://example.info/claims/groups"

bin/elasticsearch-keystore add xpack.security.authc.realms.oidc.oidc1.rp.client_secret

xpack.security.authc.realms.oidc.oidc1:
  order: 2
  rp.client_id: "the_client_id"
  rp.response_type: code
  rp.redirect_uri: "https://kibana.example.org:5601/api/security/oidc/callback"
  op.authorization_endpoint: "https://op.example.org/oauth2/v1/authorize"
  op.token_endpoint: "https://op.example.org/oauth2/v1/token"
  op.userinfo_endpoint: "https://op.example.org/oauth2/v1/userinfo"
  op.endsession_endpoint: "https://op.example.org/oauth2/v1/logout"
  op.issuer: "https://op.example.org"
  op.jwkset_path: oidc/jwkset.json
  claims.principal: email_verified
  claim_patterns.principal: "^([^@]+)@staff\\.example\\.com$"

xpack.security.authc.realms.oidc.oidc1:
  order: 1
  ...
  ssl.certificate_authorities: ["/oidc/company-ca.pem"]

当用户使用 OpenID Connect 进行身份验证时，他们会被标识到 Elastic Stack，但这不会自动授予他们执行任何操作或访问任何数据的权限。

在分配角色之前，您的 OpenID Connect 用户无法执行任何操作。这可以通过 添加角色映射 API 或使用 授权领域 来完成。

这是一个简单的角色映射示例，该映射将 example_role 角色授予针对 oidc1 OpenID Connect 领域进行身份验证的任何用户

PUT /_security/role_mapping/oidc-example
{
  "roles": [ "example_role" ], 
  "enabled": true,
  "rules": {
    "field": { "realm.name": "oidc1" }
  }
}

通过领域配置映射的用户属性用于处理角色映射规则，这些规则确定授予用户的角色。

提供给角色映射的用户字段从 OpenID Connect 声明派生，如下所示

有关更多信息，请参阅 将用户和组映射到角色 和 角色映射。

如果您的 OP 能够通过使用 OpenID 声明向 RP 提供组或角色，则应在 Elasticsearch 领域中将此声明映射到 claims.groups 设置（请参阅 将声明映射到用户属性），然后按照以下示例在角色映射中使用它。

此映射将 Elasticsearch finance_data 角色授予通过 oidc1 领域进行身份验证并具有 finance-team 组成员身份的任何用户。

PUT /_security/role_mapping/oidc-finance
{
  "roles": [ "finance_data" ],
  "enabled": true,
  "rules": { "all": [
        { "field": { "realm.name": "oidc1" } },
        { "field": { "groups": "finance-team" } }
  ] }
}

如果您的用户也存在于 Elasticsearch 可以直接访问的存储库中（例如 LDAP 目录），则可以使用 授权领域 而不是角色映射。

在这种情况下，您需要执行以下步骤

默认情况下，通过 OpenID Connect 进行身份验证的用户将具有一些额外的元数据字段。这些字段将包括身份验证响应中提供的每个 OpenID 声明（无论它是否映射到 Elasticsearch 用户属性）。例如，在元数据字段 oidc(claim_name) 中，“claim_name”是声明的名称，因为它包含在 ID 令牌或用户信息响应中。请注意，这些将包括所有与身份验证事件相关的 ID 令牌声明，而不是用户本身。

可以通过在 oidc 领域的设置中添加 populate_user_metadata: false 来禁用此行为。

除了标准 Kibana 安全配置之外，Kibana 中的 OpenID Connect 身份验证还需要少量其他设置。Kibana 安全文档 提供了有关您可以应用的可用配置选项的详细信息。

特别是，由于您的 Elasticsearch 节点已配置为在 HTTP 接口上使用 TLS，因此您必须将 Kibana 配置为使用 https URL 连接到 Elasticsearch，并且您可能需要配置 elasticsearch.ssl.certificateAuthorities 以信任 Elasticsearch 已配置为使用的证书。

Kibana 中的 OpenID Connect 身份验证受 kibana.yml 中以下超时设置的约束

您可能希望根据您的安全要求调整这些超时。

以下是 OpenID Connect 支持所需的其他三个设置

xpack.security.authc.providers:
  oidc.oidc1:
    order: 0
    realm: "oidc1"

上面示例中使用的配置值为：

xpack.security.authc.providers:
  oidc.oidc1:
    order: 0
    realm: "oidc1"
  basic.basic1:
    order: 1

这将允许尚未使用 OpenID Connect 进行身份验证的用户使用 Kibana 登录表单登录。

OpenID Connect 领域旨在允许用户对 Kibana 进行身份验证，因此，上述指南中的大多数部分都假设使用了 Kibana。本节介绍自定义 Web 应用程序如何使用相关的 OpenID Connect REST API 来使用 OpenID Connect 对 Elasticsearch 中的用户进行身份验证。

单点登录领域（例如 OpenID Connect 和 SAML）利用 Elasticsearch 中的令牌服务，原则上将 SAML 或 OpenID Connect 身份验证响应交换为 Elasticsearch 访问令牌和刷新令牌。访问令牌用作后续调用 Elasticsearch 的凭据。刷新令牌使用户能够在当前令牌过期后获取新的 Elasticsearch 访问令牌。

POST /_security/role/facilitator-role
{
  "cluster" : ["manage_oidc", "manage_token"]
}

POST /_security/user/facilitator
{
  "password" : "<somePasswordHere>",
  "roles"    : [ "facilitator-role"]
}