› › ›

安全权限

安全权限编辑

本节列出了您可以分配给角色的权限。

集群权限编辑

`all`	所有集群管理操作，例如快照、节点关闭/重启、设置更新、重新路由或管理用户和角色。
`cancel_task`	取消任务和删除异步搜索的权限。有关更多信息，请参见删除异步搜索 API。
`create_snapshot`	为现有存储库创建快照的权限。还可以列出并查看现有存储库和快照的详细信息。
`cross_cluster_replication`	连接到使用基于 API 密钥的模型配置的远程集群以进行跨集群复制的权限。此权限不应直接授予。它由创建跨集群 API 密钥和更新跨集群 API 密钥在内部使用来管理跨集群 API 密钥。
`cross_cluster_search`	连接到使用基于 API 密钥的模型配置的远程集群以进行跨集群搜索的权限。此权限不应直接授予。它由创建跨集群 API 密钥和更新跨集群 API 密钥在内部使用来管理跨集群 API 密钥。
`grant_api_key`	代表其他用户创建 Elasticsearch API 密钥的权限。
`manage`	基于 `monitor` 并添加更改集群中值的集群操作。这包括快照、更新设置和重新路由。它还包括获取快照和恢复状态。此权限不包括管理安全性的能力。
`manage_api_key`	对 Elasticsearch REST API 密钥的所有安全相关操作，包括创建新的 API 密钥、检索有关 API 密钥的信息、查询 API 密钥、更新 API 密钥、批量更新 API 密钥和使 API 密钥无效。创建新的 API 密钥时，它们将始终归经过身份验证的用户所有。拥有此权限后，您可以使自己的 API 密钥以及其他用户拥有的 API 密钥失效。
`manage_ccr`	与管理跟随者索引和自动跟随模式相关的所有跨集群复制操作。它还包括授予管理跟随者索引和自动跟随模式所需的权限的权限。此权限仅在包含跟随者索引的集群中才需要。
`manage_ilm`	与管理策略相关的所有索引生命周期管理操作。
`manage_index_templates`	对索引模板的所有操作。
`manage_inference`	与管理推理相关的所有操作。
`manage_ingest_pipelines`	对摄取管道的所有操作。
`manage_logstash_pipelines`	对 Logstash 管道的所有操作。
`manage_ml`	所有机器学习操作，例如创建和删除数据馈送、作业和模型快照。在 6.2 版本之前创建或在安全功能被禁用时创建的数据馈送以具有提升权限的系统用户身份运行，包括读取所有索引的权限。较新的数据馈送以创建或更新它们的用户的安全角色运行。
`manage_oidc`	启用使用 Elasticsearch API（OpenID Connect 准备身份验证、OpenID Connect 身份验证和 OpenID Connect 注销）代表其他用户启动和管理 OpenID Connect 身份验证。
`manage_own_api_key`	对当前经过身份验证的用户拥有的 Elasticsearch API 密钥的所有安全相关操作。这些操作包括创建新的 API 密钥、检索有关 API 密钥的信息、查询 API 密钥、更新 API 密钥、批量更新 API 密钥和使 API 密钥无效。
`manage_pipeline`	对摄取管道的所有操作。
`manage_rollup`	所有汇总操作，包括创建、启动、停止和删除汇总作业。
`manage_saml`	启用使用内部 Elasticsearch API 代表其他用户启动和管理 SAML 身份验证。
`manage_search_application`	对搜索应用程序的所有 CRUD 操作。
`manage_search_query_rules`	对查询规则的所有 CRUD 操作。
`manage_search_synonyms`	对同义词 API 的所有同义词管理操作。
`manage_security`	所有安全相关操作，例如对用户和角色的 CRUD 操作以及缓存清除。
`manage_service_account`	对 Elasticsearch 服务帐户的所有安全相关操作，包括获取服务帐户、创建服务帐户令牌、删除服务帐户令牌和获取服务帐户凭据。
`manage_slm`	所有快照生命周期管理 (SLM) 操作，包括创建和更新策略以及启动和停止 SLM。
`manage_token`	对 Elasticsearch 令牌服务生成的令牌的所有安全相关操作。
`manage_transform`	与管理转换相关的所有操作。
`manage_autoscaling`	与管理自动扩展策略相关的所有操作。
`manage_data_frame_transforms`	与管理转换相关的所有操作。 [7.5] 在 7.5 中已弃用。使用 `manage_transform` 代替。
`manage_enrich`	与管理和执行丰富策略相关的所有操作。
`manage_data_stream_global_retention`	与管理数据流全局保留设置相关的所有操作。
`manage_watcher`	所有观察者操作，例如放置观察者、执行、激活或确认。在 6.1 版本之前创建或在安全功能被禁用时创建的观察者以具有提升权限的系统用户身份运行，包括读取和写入所有索引的权限。较新的观察者以创建或更新它们的用户的安全角色运行。
`monitor`	所有集群只读操作，例如集群健康状况和状态、热点线程、节点信息、节点和集群统计信息以及待处理的集群任务。
`monitor_enrich`	与管理和执行丰富策略相关的所有只读操作。
`monitor_inference`	与推理相关的所有只读操作。
`monitor_ml`	所有只读机器学习操作，例如获取有关数据馈送、作业、模型快照或结果的信息。
`monitor_rollup`	所有只读汇总操作，例如查看历史和当前运行的汇总作业及其功能列表。
`monitor_snapshot`	列出并查看现有存储库和快照的详细信息的权限。
`monitor_text_structure`	与查找文本结构 API 相关的所有只读操作。
`monitor_transform`	与转换相关的所有只读操作。
`monitor_data_stream_global_retention`	允许检索数据流全局保留设置。
`monitor_watcher`	所有只读观察者操作，例如获取观察者和观察者统计信息。
`read_ccr`	所有只读跨集群复制操作，例如获取有关集群中领导者索引的索引和元数据的信息。它还包括检查用户是否具有跟随领导者索引的适当权限的权限。此权限仅在包含领导者索引的集群中才需要。
`read_ilm`	所有只读索引生命周期管理操作，例如获取策略和检查索引生命周期管理的状态
`read_pipeline`	对摄取管道（获取、模拟）的只读访问权限。
`read_slm`	所有只读 SLM 操作，例如获取策略和检查 SLM 状态。
`read_security`	所有只读安全相关操作，例如获取用户、用户配置文件、Elasticsearch API 密钥、Elasticsearch 服务帐户、角色和角色映射。允许查询和检索信息所有 Elasticsearch API 密钥。
`transport_client`	传输客户端连接所需的所有权限。远程集群需要此权限才能启用跨集群搜索。

索引权限编辑

`all`	对索引或数据流的任何操作。
`auto_configure`	允许自动创建索引和数据流。自动创建操作是针对不存在的索引或数据流的索引或批量请求的结果，而不是显式的创建索引或创建数据流请求。如果它们不与现有映射冲突，还允许自动更新索引和数据流上的映射。自动更新映射操作是针对包含可能映射的新字段的索引或数据流的索引或批量请求的结果，而不是显式的更新映射请求。
`创建`	索引文档的权限。 [8.0] 在 8.0 中弃用。还授予使用更新映射 API 或依赖于动态字段映射更新索引映射（但不是数据流映射）的权限。在未来的主要版本中，此权限将不会授予任何映射更新权限。此权限不会将索引操作限制为创建文档，而是将 API 使用限制为索引 API。索引 API 允许用户覆盖先前索引的文档。有关替代方案，请参见 `create_doc` 权限。
`create_doc`	索引文档的权限。它不授予更新或覆盖现有文档的权限。 [8.0] 在 8.0 中弃用。还授予使用更新映射 API 或依赖于动态字段映射更新索引映射（但不是数据流映射）的权限。在未来的主要版本中，此权限将不会授予任何映射更新权限。此权限依赖于索引请求的 `op_type`（索引和批量）。当以具有 `create_doc` 权限（以及没有更高权限，如 `index` 或 `write`）的用户身份提取文档时，您必须确保通过以下方法之一将op_type 设置为create 在索引或批量 API 中显式设置 `op_type` 使用索引 API 的 `_create` 端点使用自动生成的 `_id` 创建文档
`create_index`	创建索引或数据流的权限。创建索引请求可能包含要添加到创建后索引的别名。在这种情况下，请求还需要 `manage` 权限，在索引和别名名称上。
`cross_cluster_replication`	对位于使用基于 API 密钥的模型配置的远程集群上的索引执行跨集群复制的权限。此权限仅应用于远程索引权限的 `privileges` 字段。
`cross_cluster_replication_internal`	对从使用基于 API 密钥的模型配置的远程集群执行跨集群复制的支持操作的权限。此权限不应直接授予。它由创建跨集群 API 密钥和更新跨集群 API 密钥在内部使用来管理跨集群 API 密钥。
`删除`	删除文档的权限。
`delete_index`	删除索引或数据流的权限。
`索引`	索引和更新文档的权限。 [8.0] 在 8.0 中弃用。还授予使用更新映射 API 或依赖于动态字段映射更新索引映射（但不是数据流映射）的权限。在未来的主要版本中，此权限将不会授予任何映射更新权限。
`维护`	允许刷新、冲刷、同步冲刷和强制合并索引管理操作。没有读取或写入索引数据或以其他方式管理索引的权限。
`manage`	所有 `monitor` 权限以及索引和数据流管理（别名、分析、清除缓存、关闭、删除、存在、冲刷、映射、打开、字段功能、强制合并、刷新、设置、搜索分片、验证查询）。
`manage_follow_index`	管理跟随者索引的生命周期所需的所有操作，包括创建跟随者索引、关闭它以及将其转换为常规索引。此权限仅在包含跟随者索引的集群上是必需的。
`manage_ilm`	与管理索引或数据流策略执行相关的索引生命周期管理操作。这包括操作，例如重试策略和从索引或数据流中删除策略。
`manage_leader_index`	管理领导者索引的生命周期所需的所有操作，包括忘记跟随者。此权限仅在包含领导者索引的集群上是必需的。
`monitor`	监控所需的所有操作（恢复、段信息、索引统计信息和状态）。
`读取`	对操作（计数、解释、获取、mget、获取索引脚本、更多类似内容、多重渗透/搜索/词向量、渗透、滚动、清除滚动、搜索、建议、tv）的只读访问权限。
`read_cross_cluster`	从远程集群对搜索操作的只读访问权限。
`view_index_metadata`	对索引和数据流元数据（别名、存在、字段功能、字段映射、获取索引、获取数据流、ilm 解释、映射、搜索分片、设置、验证查询）的只读访问权限。此权限主要供 Kibana 用户使用。
`写入`	对文档执行所有写入操作的权限，包括索引、更新和删除文档以及执行批量操作的权限，同时还允许动态更新索引映射。 [8.0] 在 8.0 中弃用。它还授予使用更新映射 API 更新索引映射（但不是数据流映射）的权限。这将在未来的主要版本中被撤回。

以...身份运行权限edit

run_as 权限使经过身份验证的用户能够代表其他用户提交请求。该值可以是用户名或用逗号分隔的用户名列表。（您也可以将用户指定为字符串数组或 YAML 序列。）有关更多信息，请参见代表其他用户提交请求。

应用程序权限edit

应用程序权限在 Elasticsearch 中进行管理，可以使用具有权限 API 和获取应用程序权限 API 检索。但是，它们不会授予对 Elasticsearch 中的任何操作或资源的访问权限。它们的目的是使应用程序能够在 Elasticsearch 角色中表示和存储自己的权限模型。

要创建应用程序权限，请使用添加应用程序权限 API。然后，您可以将这些应用程序权限与角色关联，如定义角色中所述。

« 角色限制文档级安全 »