Rolle und Native-Benutzer anlegen, Passwort ändern, API-Key ausstellen

Befehl

POST _security/role/log_okuma
{
  "cluster": ["monitor"],
  "indices": [
    { "names": ["log-*"], "privileges": ["read", "view_index_metadata"] }
  ]
}
POST _security/user/rapor_kullanici
{
  "password": "Degistir-123!",
  "roles": ["log_okuma"],
  "full_name": "Rapor Servisi"
}
GET _security/user/rapor_kullanici
# User making this request and its roles:
GET _security/_authenticate
POST _security/user/rapor_kullanici/_password
{
  "password": "Yeni-Sifre-456!"
}
# Time-limited API key with restricted privileges:
POST _security/api_key
{
  "name": "rapor-key",
  "expiration": "30d",
  "role_descriptors": { "log_okuma": { "indices": [ { "names": ["log-*"], "privileges": ["read"] } ] } }
}
# If the elastic user's password is lost (shell on a node):
# bin/elasticsearch-reset-password -u elastic -i

Was es tut

Legt eine Rolle mit Lesezugriff auf ein Indexmuster und einen Benutzer im Native Realm mit dieser Rolle an, ändert das Passwort, prüft die Identität des Aufrufers und stellt einen zeitlich begrenzten API-Key mit eingeschränkten Berechtigungen aus.

Wann einsetzen

Beim Anlegen von Reporting-, Anwendungs- oder Monitoring-Konten mit Least Privilege, bei der Passwortrotation und beim Umstellen von Diensten von Benutzern auf API-Keys.

Vorsicht

Verwende den Superuser elastic nicht in Anwendungen. Die Berechtigungen eines API-Keys können die des erstellenden Benutzers nicht übersteigen; role_descriptors schränken sie nur ein. Ein API-Key ist auf einen Snapshot der Berechtigungen seines Eigentümers zum Erstellungszeitpunkt begrenzt; spätere Rollenänderungen wirken nicht auf bestehende Keys. Nach einer Passwortänderung erhalten Dienste mit dem alten Passwort 401; plane die Umstellung. Der Wert encoded in der API-Key-Antwort wird nur einmal geliefert; speichere ihn.