SearchGuard2入门.docxVIP

一、概述SearchGuard是ElasticSearch的安全插件，它支持ES客户端认证、后端系统授权，并增加审计日志，提供文档/字段级别的安全保障。SG中，所有的基础安全特性都是免费的，但如果想在商业项目中使用一些企业级安全特性，需要付费得到SG的官方授权。基础特性：节点-节点间的加密(SSL/TSL)安全的REST访问(HTTPS)灵活的REST访问控制(User/Role;aliasesindicestypes)灵活的传输层访问控制HTTP基础认证HTTP代理认证HTTP SSL / CLIENT-CERT认证XFF支持内部认证/授权匿名登录/未经验证的访问用户模仿企业级特性：HTTP SPNEGO/Kerberos认证LDAP/Active Directory身份验证/授权Document安全(DLS):只检索匹配安全标准的文件Field安全：从搜索响应中过滤掉FieldJSON网络令牌支持审计日志SG支持OPENSSL，并能与elasticsearch的Kibana、Logstash插件一起使用。与ES官方标配的安全插件Shield对比，SG提供同样的认证/授权特性，并增加了：对OpenSSL的支持HTTP代理认证JWT认证支持热载，无需重启服务免费、开源二、主要概念当你想向ES执行某个动作时，SG会按一套基本流程来决定是否允许你执行这个动作。取决于所选择的技术，这套流程中的某些步骤是可选的。流程如下：用户想与Elasticsearch集群互动这意味着任何形式的互动，包括从简单的发布查询来改变集群拓扑SG检索用户的证书这可以通过明确地要求（有挑战性）用户来实现，以提供此信息，或者它可以直接从请求中提取。凭据可以是像一个用户名/密码组合，也像一个主机名。SG验证证书。如果你使用例如Kerberos的，TLS的客户端或代理身份验证这一步是可选的。SG通过检索角色的列表用于用户授权在此步骤中检索到的角色被称为后端角色，因为他们是从后端系统检索。这个步骤是可选的。SG确定与内部SG角色关联的权限，并决定用户要执行的操作是否被允许如果您使用的是Document和Field级安全性，还可以应用基于文件类型和各个领域的更细粒度的权限基础概念:Credentials，证书。用户X与集群互动时，需要提供自己的证书Authentication (authc)，鉴权。拿到证书后，集群判断X具备的权限Authorisation (authz)，授权。从配置获取用户X所属角色的权限Users and roles，用户和角色。N:M的映射，一个用户可以对应多个角色，一个角色可以包含多个用户Permissions，权限。可以控制到集群、索引级别Action groups，动作集合。将常用的操作定义到一起，避免重复的权限定义。 如CRUD，是创建、读、更新、删除的集合Document- and field-level-security，文档/字段级别的安全。收费三、searchguard安装目前SG仅支持ES 2.3系列，不久的将来会支持更早的ES 2.X版本。在SG安装之前，需先在集群所有节点上安装Search Guard SSL。如果安装配置过程出现问题，参考：，/floragunncom/search-guard-ssl-docs/blob/master/troubleshooting.md安装SSL插件一键式在集群中的所有节点安装sudo bin/plugin install -b com.floragunn/search-guard-ssl/4或者，在本机安装maven，下载特定版本的SSL源码git clone /floragunncom/search-guard-ssl.gitmvn编译cd search-guard-ssl/home/work/app/maven/bin/mvn package -DskipTests非单机测试时，把编译好的包放到一个下载地址，方便集群使用。在es上以插件方式安装编译好的包,以单机测试为例：cd /home/xxx/elasticsearch/plugins/./bin/plugin –u file:///home/xxx/elasticsearch/search-guard-ssl-2-3.4-SNAPSHOT.zip-i search-guard-ssl之后，plugins目录下就会多出一个search-guard-ssl目录。安装好SSL后，可以安装SG了一键式安装：sudo bin/plugin install -b com.floragunn/search-guard-2/或者通过MVN编译源包git