« elasticsearch-saml-metadata elasticsearch-setup-passwords »
Elastic 文档 ›Elasticsearch 指南 [8.14] ›命令行工具

elasticsearch-service-tokens

编辑

elasticsearch-service-tokens编辑

使用 elasticsearch-service-tokens 命令可以创建、列出和删除基于文件的服务帐户令牌。

语法编辑

bin/elasticsearch-service-tokens
([create <service_account_principal> <token_name>]) |
([list] [<service_account_principal>]) |
([delete <service_account_principal> <token_name>])

描述编辑

管理服务令牌的推荐方法是通过创建服务帐户令牌 API。基于文件的令牌旨在与编排器一起使用，例如 Elastic Cloud Enterprise 和 Elastic Cloud on Kubernetes。

当您创建第一个服务帐户令牌时，此命令会在 $ES_HOME/config 目录中创建一个 service_tokens 文件。默认情况下，此文件不存在。Elasticsearch 会监视此文件的更改并动态重新加载它。

此命令仅更改本地节点上的 service_tokens 文件。如果服务令牌将用于对集群中的多个节点进行身份验证请求，则必须将 service_tokens 文件复制到每个节点。

有关服务帐户的行为和服务令牌管理的更多信息，请参阅服务帐户。

为了确保 Elasticsearch 可以在启动时读取服务帐户令牌信息，请以与运行 Elasticsearch 相同的用户身份运行 elasticsearch-service-tokens。以 root 或其他用户身份运行此命令会更新 service_tokens 文件的权限，并阻止 Elasticsearch 访问它。

参数编辑

create

为指定的服务帐户创建服务帐户令牌。

create 的属性
<service_account_principal>

（必填，字符串）服务帐户主体，采用 <namespace>/<service> 的格式，其中 namespace 是服务帐户的顶级分组，service 是服务的名称。例如，elastic/fleet-server。

服务帐户主体必须与已知服务帐户匹配。

<token_name>

（必填，字符串）令牌名称的标识符。

令牌名称必须至少包含 1 个字符，且不超过 256 个字符。它们可以包含字母数字字符（a-z、A-Z、0-9）、破折号（-）和下划线（_），但不能以下划线开头。

在关联服务帐户的上下文中，令牌名称必须唯一。

list

列出 service_tokens 文件中定义的所有服务帐户令牌。如果指定了服务帐户主体，则该命令仅列出属于指定服务帐户的令牌。

list 的属性
<service_account_principal>

（可选，字符串）服务帐户主体，采用 <namespace>/<service> 的格式，其中 namespace 是服务帐户的顶级分组，service 是服务的名称。例如，elastic/fleet-server。

服务帐户主体必须与已知服务帐户匹配。

delete

删除指定服务帐户的服务帐户令牌。

delete 的属性
<service_account_principal>

（必填，字符串）服务帐户主体，采用 <namespace>/<service> 的格式，其中 namespace 是服务帐户的顶级分组，service 是服务的名称。例如，elastic/fleet-server。

服务帐户主体必须与已知服务帐户匹配。

<token_name>
（必填，字符串）现有令牌的名称。

示例编辑

以下命令为 elastic/fleet-server 服务帐户创建一个名为 my-token 的服务帐户令牌。

bin/elasticsearch-service-tokens create elastic/fleet-server my-token

输出是一个承载令牌，它是一个 Base64 编码的字符串。

SERVICE_TOKEN elastic/fleet-server/my-token = AAEAAWVsYXN0aWM...vZmxlZXQtc2VydmVyL3Rva2VuMTo3TFdaSDZ

使用此承载令牌对 Elasticsearch 集群进行身份验证。

curl -H "Authorization: Bearer AAEAAWVsYXN0aWM...vZmxlZXQtc2VydmVyL3Rva2VuMTo3TFdaSDZ" https://127.0.0.1:9200/_cluster/health

如果您的节点将 xpack.security.http.ssl.enabled 设置为 true，则必须在请求 URL 中指定 https。

以下命令列出 service_tokens 文件中定义的所有服务帐户令牌。

bin/elasticsearch-service-tokens list

所有服务帐户令牌的列表将显示在您的终端中。

elastic/fleet-server/my-token
elastic/fleet-server/another-token

以下命令删除 elastic/fleet-server 服务帐户的 my-token 服务帐户令牌。

bin/elasticsearch-service-tokens delete elastic/fleet-server my-token
« elasticsearch-saml-metadata elasticsearch-setup-passwords »