Создание роли и native-пользователя, смена пароля, выпуск API-ключа

Команда

POST _security/role/log_okuma
{
  "cluster": ["monitor"],
  "indices": [
    { "names": ["log-*"], "privileges": ["read", "view_index_metadata"] }
  ]
}
POST _security/user/rapor_kullanici
{
  "password": "Degistir-123!",
  "roles": ["log_okuma"],
  "full_name": "Rapor Servisi"
}
GET _security/user/rapor_kullanici
# User making this request and its roles:
GET _security/_authenticate
POST _security/user/rapor_kullanici/_password
{
  "password": "Yeni-Sifre-456!"
}
# Time-limited API key with restricted privileges:
POST _security/api_key
{
  "name": "rapor-key",
  "expiration": "30d",
  "role_descriptors": { "log_okuma": { "indices": [ { "names": ["log-*"], "privileges": ["read"] } ] } }
}
# If the elastic user's password is lost (shell on a node):
# bin/elasticsearch-reset-password -u elastic -i

Что делает

Создаёт роль с доступом на чтение к шаблону индексов и пользователя native realm с этой ролью, меняет пароль, проверяет личность вызывающего и выпускает ограниченный по времени API-ключ с суженными привилегиями.

Когда использовать

При создании учётных записей для отчётов, приложений или мониторинга с минимальными привилегиями, при ротации паролей и при переводе сервисов с пользователей на API-ключи.

Внимание

Не используйте суперпользователя elastic в приложениях. Привилегии API-ключа не могут превышать привилегии создавшего его пользователя; role_descriptors только сужают их. API-ключ ограничен снимком привилегий владельца на момент создания; последующие изменения ролей не влияют на существующие ключи. После смены пароля сервисы со старым паролем получают 401; спланируйте переключение. Значение encoded в ответе на создание API-ключа возвращается только один раз; сохраните его.