Crear un rol y un usuario nativo, cambiar la contraseña, emitir una API key

Comando

POST _security/role/log_okuma
{
  "cluster": ["monitor"],
  "indices": [
    { "names": ["log-*"], "privileges": ["read", "view_index_metadata"] }
  ]
}
POST _security/user/rapor_kullanici
{
  "password": "Degistir-123!",
  "roles": ["log_okuma"],
  "full_name": "Rapor Servisi"
}
GET _security/user/rapor_kullanici
# User making this request and its roles:
GET _security/_authenticate
POST _security/user/rapor_kullanici/_password
{
  "password": "Yeni-Sifre-456!"
}
# Time-limited API key with restricted privileges:
POST _security/api_key
{
  "name": "rapor-key",
  "expiration": "30d",
  "role_descriptors": { "log_okuma": { "indices": [ { "names": ["log-*"], "privileges": ["read"] } ] } }
}
# If the elastic user's password is lost (shell on a node):
# bin/elasticsearch-reset-password -u elastic -i

Qué hace

Crea un rol con acceso de lectura sobre un patrón de índices y un usuario del native realm con ese rol, cambia la contraseña, verifica la identidad de quien llama y emite una API key de duración limitada con privilegios acotados.

Cuándo usarlo

Al crear cuentas de informes, aplicación o monitoreo con mínimo privilegio, durante la rotación de contraseñas y al pasar los servicios de usuarios a API keys.

Precaución

No use el superusuario elastic en las aplicaciones. Los privilegios de una API key no pueden superar los del usuario que la creó; role_descriptors solo los acota. Una API key queda limitada por una instantánea de los privilegios de su propietario en el momento de la creación; los cambios de roles posteriores no afectan a las claves existentes. Tras un cambio de contraseña, los servicios que usan la contraseña antigua reciben 401; planifique el cambio. El valor encoded de la respuesta de la API key se devuelve solo una vez; guárdelo.