ES6.7版本安全与审计

匿名访问（安全灰度过度）

在elasticsearch.yml文件中增加配置项。代表匿名用户拥有超级用户的权限。

xpack.security.authc.anonymous.roles: superuser
1

调整集群配置(源码的二次开发)，支持动态开启和关闭匿名访问。

PUT /_cluster/settings
{
"persistent":{
	"xpack.security.authc.anonymous.enabled":"true"
	}
}
1
2
3
4
5
6

采用原生的realm方式进行账号权限认证

配置native realm

native其实是默认的，开启了安全特性之后就是启用状态。可以在elasticsearch.yml文件中通过配置项进行自定义调整，调整了配置需要进行重启生效。

  security:
    authc:
      realms:
        native1:
          type: native
          order: 0
1
2
3
4
5
6

配置项说明

管理使用API

详细参考官网文档security-api

创建/修改角色

权限说明参考：权限部分

POST _xpack/security/role/{rolename}
{
    "cluster": ["all"],
 	"indices": [{"names": ["*"],"privileges": ["all"]}]
}
1
2
3
4
5

查看指定角色

GET _xpack/security/role/{rolename}
1

查看all角色

GET _xpack/security/role
1

删除角色

DELETE _xpack/security/role/{rolename}
1

创建/修改用户

POST _xpack/security/user/jacknich
{
  "password" : "j@rV1s",
  "roles" : [ "admin", "other_role1" ],
  "full_name" : "Jack Nicholson",
  "email" : "jacknich@example.com",
}
1
2
3
4
5
6
7

查询用户

GET _xpack/security/user/{username}
1

修改密码

POST _xpack/security/user/{username}/_password
{
  "password" : "s3cr3t"
}
1
2
3
4

禁用用户

PUT _xpack/security/user/{username}/_disable
1

启用用户

PUT /_xpack/security/user/{username}/_enable
1

权限验证

GET _xpack/security/user/_has_privileges
{
  "cluster": [ "monitor", "manage" ],
  "index" : [
    {
      "names": [ "suppliers", "products" ],
      "privileges": [ "read" ]
    },
    {
      "names": [ "inventory" ],
      "privileges" : [ "read", "write" ]
    }
  ],
  "application": [
    {
      "application": "inventory_manager",
      "privileges" : [ "read", "data:write/inventory" ],
      "resources" : [ "product/1852563" ]
    }
  ]
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

注意点

• 先创建角色，主要使用cluster和indices
• 用户和角色 不支持局部修改，修改的时候需要在请求体上带上全部的配置
• 单独删除角色，不会删除用户中的角色属性。应当先清除用户中的角色名，防止之后新建重名的角色，导致越权问题。

审计安全日志

您可以启用审核以跟踪与安全相关的事件，例如身份验证失败和拒绝连接。 记录这些事件使您能够监控集群中的可疑活动，并在发生攻击时提供证据。

审计日志默认是关闭的，需要在elasticsearch.yml文件中通过设置 xpack.security.audit.enabled to true进行开启。

原本有两个审计日志的输出方式，但是目前已经废弃了写入索引的方式。直接写入日志文件。

默认情况下，启用审计时仅使用 logfile 输出，隐式输出到 <clustername>_audit.log 和 <clustername>_access.log。

审计事件类型

审计事件属性（公共）

在 6.5.0 中，有一个新的日志文件审计输出格式。 这种格式还为审计事件属性带来了一些变化。 新格式输出到 <clustername>_audit.log文件。 审计条目被格式化为平面 JSON 文档（也就是说，没有嵌套对象），每行一个。 因此，属性名称是 JSON 键，它们遵循点分名称语法。 不输出任何缺少值 (null) 的属性。 以下列表显示了所有审计事件共有的属性。 它们的名称和值类似于已弃用的日志文件或索引输出格式中的名称和值。 但是，预计这些格式将在 6.x 版本期间独立发展，因此建议遵循您正在使用的格式的属性描述。

审核 REST 事件类型的事件属性

The events with event.type equal to rest have one of the following event.action attribute values: authentication_success, anonymous_access_denied, authentication_failed, realm_authentication_failed, tampered_request or run_as_denied.

审核 TRASNPORT 事件类型的事件属性

The events with event.type equal to transport have one of the following event.action attribute values: authentication_success, anonymous_access_denied, authentication_failed, realm_authentication_failed, access_granted, access_denied, run_as_granted, run_as_denied, or tampered_request.

审计 ip_filter 事件类型的事件属性

The events with event.type equal to ip_filter have one of the following event.action attribute values: connection_granted or connection_denied.

特定事件的额外审计事件属性

• authentication_success:

  • realm

    成功验证用户的领域的名称。

  • user.name

    有效用户的名称。 这通常与 authenticated 用户相同，但如果使用 作为授权运行功能 这表示 impersonated 用户的名称。

  • user.run_by.name

    仅当请求使用 作为授权功能运行 并表示名称时，此属性才存在 authenticated 用户的身份，也称为 impersonator。

• authentication_failed:

  • user.name

    未通过身份验证的用户的名称。 如果请求身份验证令牌无效或无法解析，则可能缺少此信息。

• realm_authentication_failed:

  • user.name

    未通过身份验证的用户的名称。

  • realm

    拒绝此身份验证的领域的名称。 此事件为链中的每个认证领域生成。

• run_as_denied and run_as_granted:

  • user.roles

    用户的角色组。

  • user.name

    被授予或拒绝 impersonation 操作的 authenticated 用户的名称。

  • user.realm

    authenticated 用户所属的领域名称。

  • user.run_as.name

    授予或拒绝 impersonation 操作的用户的名称。

  • user.run_as.realm

    impersonated 用户所属的领域名称。

• access_granted or access_denied:

  • user.roles

    用户的角色组。

  • user.name

    被授权或未经授权的有效用户的名称。 这通常是 authenticated 用户，但如果使用 作为授权运行功能 代替 表示 impersonated 用户的名称。

  • user.realm

    有效用户所属的领域名称。

  • user.run_by.name

    仅当请求使用 作为授权功能运行 并表示名称时，此属性才存在 authenticated 用户的身份，也称为 impersonator。

  • user.run_by.realm

    仅当请求使用 作为授权功能运行 并表示名称时，此属性才存在 authenticated (impersonator) 用户所属的领域。

日志的等级可以动态调整

PUT /_cluster/settings
{
  "persistent": {
    "logger.org.elasticsearch.xpack.security.audit.logfile.DeprecatedLoggingAuditTrail": "off"
  }
}
1
2
3
4
5
6

审计日志事件忽略策略

通过配置项可以在日志中忽略与策略相关的日志

• 用户

  xpack.security.audit.logfile.events.ignore_filters.<policy_name>.users
  1

• 权限认证领域

  xpack.security.audit.logfile.events.ignore_filters.<policy_name>.realms
  1

• 角色

  xpack.security.audit.logfile.events.ignore_filters.<policy_name>.roles
  1

• 索引

  xpack.security.audit.logfile.events.ignore_filters.<policy_name>.indices
  1

示例

xpack.security.audit.logfile.events.ignore_filters:
  example1:
    users: ["kibana", "admin_user"]
    indices: ["app-logs*"]
    roles: ["admin", "ops_admin_*"]
1
2
3
4
5

审计事件日志包含请求正文

请在 elasticsearch.yml 文件中编辑以下设置：

xpack.security.audit.logfile.events.emit_request_body: true
1