配置Active Directory身份认证

前提条件

您已完成以下操作：

• 创建阿里云Elasticsearch实例。

  具体操作，请参见创建阿里云Elasticsearch实例。本文以7.10版本实例为例。

• 准备与阿里云Elasticsearch相同专有网络下的AD域环境和数据，本文以Windows Server 2012为例。

  具体操作，请参见ECS实例搭建Windows系统AD域。本文配置的用户名称为ccy1，根域为ccy.com，如下图所示。

使用限制

操作流程

1. 步骤一：获取终端节点域名（可选）

2. 步骤二：配置AD认证

3. 步骤三：为域账号映射角色

4. 步骤四：验证结果

步骤一：获取终端节点域名（可选）

如果您创建的阿里云Elasticsearch处于新网络架构下（2020年10月及之后创建的实例属于新网络架构），需要借助PrivateLink，打通用户VPC与阿里云服务账号VPC，获取终端域名，为后续配置做准备。具体操作如下：

1. 创建与阿里云Elasticsearch实例处于同一VPC下，且支持PrivateLink功能的负载均衡实例。

   具体操作，请参见步骤一：创建并配置负载均衡实例。

2. 配置负载均衡实例。

   配置时，需要指定LDAP所在的服务器为后端服务器，监听端口为389。

   具体操作，请参见配置实例私网连接。

3. 创建终端节点服务。

   具体操作，请参见步骤二：创建终端节点服务。

4. 配置阿里云Elasticsearch私网互通。

   具体操作，请参见步骤三：配置阿里云Elasticsearch私网互通。

5. 获取终端节点域名。

   具体操作，请参见配置实例私网连接。

   说明 请先记录获取到的节点域名，该域名会在后续配置中使用。

步骤二：配置AD认证

您可以通过Elasticsearch的安全功能与AD域通信，实现用户身份认证。安全功能基于LDAP与AD域进行通信，因此active_directory域类似于ldap域。与LDAP目录一样，AD域分层存储用户和组。AD域通过发送LDAP绑定请求，验证用户的身份。验证后，AD域会通过搜索查找对应用户在Active Directory中的条目。一旦找到该用户，AD域就会从Active Directory中用户条目的tokenGroups属性中检索该用户的组成员身份。详细信息，请参见Configuring an Active Directory realm。

xpack.security.authc.realms.active_directory.my_ad.order: 2
xpack.security.authc.realms.active_directory.my_ad.domain_name: ccy.com
xpack.security.authc.realms.active_directory.my_ad.url: ldap://ep-bp1i321219*********-cn-hangzhou-h.epsrv-bp15571d5ps*********.cn-hangzhou.privatelink.aliyuncs.com:389
xpack.security.authc.realms.active_directory.my_ad.bind_dn: cc**@ccy.com
xpack.security.authc.realms.active_directory.my_ad.secure_bind_password: your_password

步骤三：为域账号映射角色

1. 登录目标Elasticsearch实例的Kibana控制台。

   具体操作，请参见登录Kibana控制台。

   说明

   本文以阿里云Elasticsearch 7.10.0版本为例，其他版本操作可能略有差别，请以实际界面为准。

2. 根据页面提示进入Kibana主页，单击右上角的Dev tools。

3. 在Console页签，执行如下命令，将AD域下的ccy1用户设置为管理员角色。

   PUT /_security/role_mapping/basic_users
   {
     "roles": [ "superuser" ],
     "enabled": true,
     "rules": {
       "any": [
         {
           "field": {
             "groups": "cn=ali,dc=ccy,dc=com"
           }
         },
         {
           "field": {
             "dn": "cn=ccy1,cn=ali,dc=ccy,dc=com"
           }
         }
       ]
     }
   }

步骤四：验证结果

1. 使用已授权的ccy1用户登录目标Elasticsearch的Kibana。

2. 根据页面提示进入Kibana主页，单击右上角的Dev tools。

3. 在Console页签，执行如下命令，验证ccy1用户是否有执行对应操作的权限。

   GET _cat/indices

   如果ccy1用户有权限，会返回如下结果，说明AD域下ccy1用户权限设置成功。