Criar uma role e um usuário nativo, alterar a senha, emitir uma API key

Comando

POST _security/role/log_okuma
{
  "cluster": ["monitor"],
  "indices": [
    { "names": ["log-*"], "privileges": ["read", "view_index_metadata"] }
  ]
}
POST _security/user/rapor_kullanici
{
  "password": "Degistir-123!",
  "roles": ["log_okuma"],
  "full_name": "Rapor Servisi"
}
GET _security/user/rapor_kullanici
# User making this request and its roles:
GET _security/_authenticate
POST _security/user/rapor_kullanici/_password
{
  "password": "Yeni-Sifre-456!"
}
# Time-limited API key with restricted privileges:
POST _security/api_key
{
  "name": "rapor-key",
  "expiration": "30d",
  "role_descriptors": { "log_okuma": { "indices": [ { "names": ["log-*"], "privileges": ["read"] } ] } }
}
# If the elastic user's password is lost (shell on a node):
# bin/elasticsearch-reset-password -u elastic -i

O que faz

Cria uma role com acesso de leitura em um padrão de índices e um usuário do native realm com essa role, altera a senha, verifica a identidade de quem faz a chamada e emite uma API key com prazo e privilégios restritos.

Quando usar

Ao criar contas de relatório, aplicação ou monitoramento com privilégio mínimo, durante a rotação de senhas e ao migrar serviços de usuários para API keys.

Atenção

Não use o superusuário elastic em aplicações. Os privilégios de uma API key não podem exceder os do usuário que a criou; role_descriptors apenas os restringem. Uma API key é limitada por um snapshot point-in-time dos privilégios do seu dono na criação; mudanças posteriores de role não afetam as chaves existentes. Após uma mudança de senha, os serviços que usam a senha antiga recebem 401; planeje a transição. O valor encoded na resposta da API key é retornado apenas uma vez; guarde-o.