ELK 系列十一、elk权限说明和设置

约定不等于承诺〃 2022-04-25 10:04 958阅读 0赞

权限设置可以通过命令，也可以通过kibana控制台，这边主要是讲控制台，注意，需要先开通x-pack

权限设置的方式也很容易理解，先建好角色，给角色赋权限，然后把角色分配给具体的用户，这样用户就具备权限了

**目录**

1.角色权限设置

2.角色权限参数说明

2.1内置角色

2.2 Cluster privileges

2.3. 索引权限

--------------------

# 1.角色权限设置 #

比如我要建一个只限于test索引相关的管理权限。那么操作如下：

先建立一个test-admin的角色

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjcwMDIyMg_size_16_color_FFFFFF_t_70][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjcwMDIyMg_size_16_color_FFFFFF_t_70 1][]

注意：这里的选型需要回车确认

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjcwMDIyMg_size_16_color_FFFFFF_t_70 2][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjcwMDIyMg_size_16_color_FFFFFF_t_70 3][]

点击create role后再选择一个用户，分配角色roles就好了。

# 2.角色权限参数说明 #

上面角色创建页面中的选项说明：

## 2.1内置角色 ##

Elastic Stack安全功能将默认角色应用于所有用户，包括 [匿名用户][Link 1]。默认角色使用户能够访问身份验证端点，更改自己的密码以及获取有关自身的信息。

还有一组可以明确分配给用户的内置角色。这些角色具有一组固定的权限，无法更新。

`apm_system`

授予APM系统用户向Elasticsearch发送系统级数据（如监控）所需的访问权限。

`beats_admin`

授予对`.management-beats`索引的访问权限，该索引包含Beats的配置信息。

`beats_system`

授予Beats系统用户向Elasticsearch发送系统级数据（如监控）所需的访问权限。

![注意][note.png]

*  不应将此角色分配给用户，因为授予的权限可能会在不同版本之间更改。
 *  此角色不提供对节拍索引的访问，也不适合将节拍输出写入Elasticsearch。

`ingest_admin`

授予访问权限以管理**所有**索引模板和**所有**摄取管道配置。

![注意][note.png]

这个角色也**没有**提供用于创建指数的能力; 必须在单独的角色中定义这些权限。

`kibana_dashboard_only_user`

授予对Kibana仪表板的访问权限和对Kibana的只读权限。此角色无权访问Kibana中的编辑工具。有关更多信息，请参阅 [仅限Kibana仪表板模式][Kibana]。

`kibana_system`

授予Kibana系统用户读取和写入Kibana索引，管理索引模板以及检查Elasticsearch集群可用性所需的访问权限。此角色授予对`.monitoring-*`索引的读访问权以及对索引的读写访问权`.reporting-*`。有关更多信息，请参阅 [在Kibana中配置安全性][Kibana 1]。

![注意][note.png]

不应将此角色分配给用户，因为授予的权限可能会在不同版本之间更改。

`kibana_user`

授予Kibana用户所需的权限。此角色授予对Kibana的访问权限并授予群集的监视权限。

`logstash_admin`

授予对`.logstash*`索引的访问权限以管理配置。

`logstash_system`

授予Logstash系统用户向Elasticsearch发送系统级数据（如监控）所需的访问权限。有关更多信息，请参阅 [在Logstash中配置安全性][Logstash]。

![注意][note.png]

*  不应将此角色分配给用户，因为授予的权限可能会在不同版本之间更改。
 *  此角色不提供对logstash索引的访问，也不适合在Logstash管道中使用。

`machine_learning_admin`

授予`manage_ml`群集权限和对`.ml-*`索引的读访问权限。

`machine_learning_user`

授予查看机器学习配置，状态和结果所需的最低权限。此角色授予`monitor_ml`集群特权以及对存储机器学习结果的`.ml-notifications`和`.ml-anomalies*`索引的读取访问权限。

`monitoring_user`

授予X-Pack监控用户所需的最低权限，而不是使用Kibana所需的权限。此角色授予对监视索引的访问权限，并授予读取基本群集信息所需的权限。还应为监视用户分配`kibana_user`角色。

`remote_monitoring_agent`

授予将数据写入监视索引（`.monitoring-*`）所需的最小权限。此角色还具有创建Metricbeat索引（`metricbeat-*`）并将数据写入其中所需的特权。

`remote_monitoring_collector`

授予收集Elastic Stack监控数据所需的最低权限。

`reporting_user`

授予X-Pack报告用户所需的特定权限，而不是使用Kibana所需的权限。该角色授予访问报告索引的权限; 每个用户只能访问自己的报告。还应为报告用户分配`kibana_user`角色和角色，以授予他们访问将用于生成报告的数据的权限。

`superuser`

授予对群集的完全访问权限，包括所有索引和数据。具有该`superuser`角色的用户还可以管理用户和角色，并 [模拟系统中的][Link 2]任何其他用户。由于此角色具有许可性质，因此在将其分配给用户时要格外小心。

`transport_client`

通过Java传输客户端授予访问群集所需的权限。Java传输客户端使用*节点活动API*和*群集状态API*（启用嗅探时）获取有关群集中节点的信息。如果用户使用传输客户端，则为其分配此角色。

![注意][note.png]

有效地使用传输客户端意味着授予用户访问群集状态的权限。这意味着用户可以查看所有索引，索引模板，映射，节点以及基本上有关群集的所有内容的元数据。但是，此角色不授予查看所有索引中数据的权限。

`watcher_admin`

授予对`.watches`索引的读访问权限，读取对监视历史记录的访问权限以及触发的监视索引，并允许执行所有观察者操作。

`watcher_user`

授予对`.watches`索引的读访问权限，获取监视操作和观察者统计信息。

## 2.2 Cluster privileges ##

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;"> <code>all</code> </td> 
 <td style="vertical-align:top;"> 所有群集管理操作，如快照，节点关闭/重新启动，设置更新，重新路由或管理用户和角色。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage</code> </td> 
 <td style="vertical-align:top;"> 构建<code>monitor</code>并添加可更改集群中值的集群操作。这包括快照，更新设置和重新路由。它还包括获取快照和还原状态。此权限不包括管理安全性的能力。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage_ccr</code> </td> 
 <td style="vertical-align:top;"> 所有跨群集复制操作都与管理跟随者索引和自动跟随模式有关。它还包括授予管理跟随者索引和自动跟踪模式所必需的权限的权限。仅在包含跟随者索引的群集上才需要此权限。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage_index_templates</code> </td> 
 <td style="vertical-align:top;"> 索引模板上的所有操作。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage_ingest_pipelines</code> </td> 
 <td style="vertical-align:top;"> 对摄取节点管道的所有操作。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage_ml</code> </td> 
 <td style="vertical-align:top;"> 所有机器学习操作，例如创建和删除数据馈送，作业和模型快照。 <img alt="注意" src="https://www.elastic.co/guide/en/elastic-stack-overview/6.5/images/icons/note.png"> 在6.2版之前创建或在禁用安全功能时创建的数据馈送作为具有提升权限的系统用户运行，包括读取所有索引的权限。较新的数据馈送使用创建或更新它们的用户的安全角色运行。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage_pipeline</code> </td> 
 <td style="vertical-align:top;"> 摄取管道的所有操作。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage_rollup</code> </td> 
 <td style="vertical-align:top;"> 所有汇总操作，包括创建，启动，停止和删除汇总作业。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage_saml</code> </td> 
 <td style="vertical-align:top;"> 允许使用内部Elasticsearch API代表其他用户启动和管理SAML身份验证。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage_security</code> </td> 
 <td style="vertical-align:top;"> 所有与安全相关的操作，例如对用户和角色的CRUD操作以及缓存清除。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage_watcher</code> </td> 
 <td style="vertical-align:top;"> 所有观察者操作，例如放置手表，执行，激活或确认。 <img alt="注意" src="https://www.elastic.co/guide/en/elastic-stack-overview/6.5/images/icons/note.png"> 在6.1版之前创建或在禁用安全功能时创建的监视作为具有提升权限的系统用户运行，包括读取和写入所有索引的权限。较新的手表使用创建或更新它们的用户的安全角色运行。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>monitor</code> </td> 
 <td style="vertical-align:top;"> 所有群集只读操作，如群集运行状况和状态，热线程，节点信息，节点和群集统计信息以及挂起的群集任务。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>monitor_ml</code> </td> 
 <td style="vertical-align:top;"> 所有只读机器学习操作，例如获取有关数据馈送，作业，模型快照或结果的信息。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>monitor_rollup</code> </td> 
 <td style="vertical-align:top;"> 所有只读汇总操作，例如查看历史和当前运行的汇总作业列表及其功能。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>monitor_watcher</code> </td> 
 <td style="vertical-align:top;"> 所有只读观察者操作，例如获取手表和观察者统计数据。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>read_ccr</code> </td> 
 <td style="vertical-align:top;"> 所有只读的跨群集复制操作，例如获取有关群集中的leader索引的索引和元数据的信息。它还包括检查用户是否具有遵循领导者索引的适当权限的权限。仅在包含领导者索引的群集上才需要此权限。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>transport_client</code> </td> 
 <td style="vertical-align:top;"> 传输客户端连接所需的所有权限。远程群集需要启用<a href="https://www.elastic.co/guide/en/elastic-stack-overview/6.5/cross-cluster-configuring.html" rel="nofollow">跨群集搜索</a>。 </td> 
 </tr> 
 </tbody> 
</table>

## 2.3. 索引权限 ##

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;"> <code>all</code> </td> 
 <td style="vertical-align:top;"> 对索引的任何操作 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>create</code> </td> 
 <td style="vertical-align:top;"> 索引文档的权限。还授予对更新映射操作的访问权限。 <img alt="注意" src="https://www.elastic.co/guide/en/elastic-stack-overview/6.5/images/icons/note.png"> 此权限不会将索引操作限制为创建文档，而是将API使用限制为索引API。索引API允许用户覆盖先前索引的文档。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>create_index</code> </td> 
 <td style="vertical-align:top;"> 创建索引的权限。创建索引请求可能包含一旦创建就添加到索引的别名。在这种情况下，请求<code>manage</code>&nbsp;在索引和别名名称上也需要特权。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>delete</code> </td> 
 <td style="vertical-align:top;"> 删除文档的权限。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>delete_index</code> </td> 
 <td style="vertical-align:top;"> 删除索引的权限。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>index</code> </td> 
 <td style="vertical-align:top;"> 索引和更新文档的权限。还授予对更新映射操作的访问权限。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage</code> </td> 
 <td style="vertical-align:top;"> 所有<code>monitor</code>权限加上索引管理（别名，分析，缓存清除，关闭，删除，存在，刷新，映射，打开，强制合并，刷新，设置，搜索分片，模板，验证）。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>manage_follow_index</code> </td> 
 <td style="vertical-align:top;"> 管理跟随者索引生命周期所需的所有操作，包括创建跟随者索引，关闭它并将其转换为常规索引。仅在包含跟随者索引的群集上才需要此权限。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>monitor</code> </td> 
 <td style="vertical-align:top;"> 监控所需的所有操作（恢复，分段信息，索引统计信息和状态）。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>read</code> </td> 
 <td style="vertical-align:top;"> 只读访问操作（计数，解释，获取，mget，获取索引脚本，更像这样，多渗透/搜索/ termvector，percolate，滚动，clear_scroll，搜索，建议，电视）。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>read_cross_cluster</code> </td> 
 <td style="vertical-align:top;"> 对来自<a href="https://www.elastic.co/guide/en/elastic-stack-overview/6.5/cross-cluster-configuring.html" rel="nofollow">远程群集</a>的搜索操作的只读访问权限。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>view_index_metadata</code> </td> 
 <td style="vertical-align:top;"> 对索引元数据的只读访问（别名，存在别名，获取索引，存在，字段映射，映射，搜索分片，类型存在，验证，加热器，设置）。此权限主要供Kibana用户使用。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;"> <code>write</code> </td> 
 <td style="vertical-align:top;"> 对文档执行所有写入操作的权限，包括索引，更新和删除文档以及执行批量操作的权限。还授予对更新映射操作的访问权限。 </td> 
 </tr> 
 </tbody> 
</table>

参考资料：[https://www.elastic.co/guide/en/elastic-stack-overview/6.5/built-in-roles.html][https_www.elastic.co_guide_en_elastic-stack-overview_6.5_built-in-roles.html]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjcwMDIyMg_size_16_color_FFFFFF_t_70]: /images/20220125/231d4a98dc4842ba8dcec5250c7093e0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjcwMDIyMg_size_16_color_FFFFFF_t_70 1]: /images/20220125/a58eade749eb4517b8d558500370abf9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjcwMDIyMg_size_16_color_FFFFFF_t_70 2]: /images/20220125/dbb51a18b4b04d35b2b2ce6bfebff6e0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3d1MjcwMDIyMg_size_16_color_FFFFFF_t_70 3]: /images/20220125/64d5812cd79f48528e98dd101fce41f2.png
[Link 1]: https://www.elastic.co/guide/en/elastic-stack-overview/6.5/anonymous-access.html
[note.png]: https://www.elastic.co/guide/en/elastic-stack-overview/6.5/images/icons/note.png
[Kibana]: https://www.elastic.co/guide/en/kibana/6.5/xpack-dashboard-only-mode.html
[Kibana 1]: https://www.elastic.co/guide/en/kibana/6.5/using-kibana-with-security.html
[Logstash]: http://www.elastic.co/guide/en/logstash/6.5/ls-security.html
[Link 2]: https://www.elastic.co/guide/en/elastic-stack-overview/6.5/run-as-privilege.html
[https_www.elastic.co_guide_en_elastic-stack-overview_6.5_built-in-roles.html]: https://www.elastic.co/guide/en/elastic-stack-overview/6.5/built-in-roles.html