Readonlyrest 和 Kibana 权限配置

Question

我正在尝试使用 Kibana 设置一个基本的 readonlyrest 示例。我的配置如下：

readonlyrest:
enable: true
response_if_req_forbidden: Forbidden by ReadonlyREST ES plugin

access_control_rules:

- name: Accept requests from users in group team1 on index1
  type: allow
  hosts: [localhost,127.0.0.1,10.0.0.0/24]
  groups: ["team1"]
  actions: ["indices:data/read","indices:data/read/mge/*","indices:data/read/mget","indices:data/read/*","indices:data/write/*","indices:admin/template/*","indices:admin/create", "cluster:monitor/*"]
  indices: ["<no-index>", ".kibana*", "logstash*", "default" ,"sha*" ,"ba*"]

users:

- username: alice
  auth_key: alice:p455phrase
  groups: ["team1"]

不幸的是，这不起作用。我在 elasticsearch 日志中不断收到授权异常，并显示以下错误消息：

no block has matched, forbidding by default: { action: indices:data/read/mget, 
OA:127.0.0.1, indices:[.kibana], M:POST, P:/_mget, C:{"docs":[{"_index":".kibana",
"_type":"config","_id":"4.6.1"}]}, Headers:[]}

我的配置中缺少什么？

在 kibana.yml 中的配置是：

elasticsearch.username: "alice"
elasticsearch.password: "p455phrase"

Answer 1

如果您的用例是基本的 kibana 身份验证，则应遵循the example in the documentation。

一旦您开始工作，您可以修改示例以将所需的规则分配给组，并将组分配给硬编码的用户。

请记住，由于 HTTP 基本身份验证在浏览器和 Kibana 之间提供了糟糕的安全级别，因此这不是一个生产就绪的解决方案：

1. 浏览器将在每次请求时传递未加密的凭据
2. 用户无法从 Kibana “注销”

现在 ReadonlyREST 提供了两个 Kibana 插件（PRO 和 Enterprise），它们使用加密的 cookie 修复了上述限制，并在 Kibana UI 中注入了一个注销按钮。

download 可享受 30 天试用