Créer un rôle et un utilisateur natif, changer le mot de passe, émettre une API key

Commande

POST _security/role/log_okuma
{
  "cluster": ["monitor"],
  "indices": [
    { "names": ["log-*"], "privileges": ["read", "view_index_metadata"] }
  ]
}
POST _security/user/rapor_kullanici
{
  "password": "Degistir-123!",
  "roles": ["log_okuma"],
  "full_name": "Rapor Servisi"
}
GET _security/user/rapor_kullanici
# User making this request and its roles:
GET _security/_authenticate
POST _security/user/rapor_kullanici/_password
{
  "password": "Yeni-Sifre-456!"
}
# Time-limited API key with restricted privileges:
POST _security/api_key
{
  "name": "rapor-key",
  "expiration": "30d",
  "role_descriptors": { "log_okuma": { "indices": [ { "names": ["log-*"], "privileges": ["read"] } ] } }
}
# If the elastic user's password is lost (shell on a node):
# bin/elasticsearch-reset-password -u elastic -i

Ce que fait la commande

Crée un rôle avec accès en lecture sur un motif d'index et un utilisateur du native realm détenant ce rôle, change le mot de passe, vérifie l'identité de l'appelant et émet une API key à durée limitée aux privilèges restreints.

Quand l'utiliser

Lors de la création de comptes de reporting, d'application ou de supervision selon le moindre privilège, pendant la rotation des mots de passe, et lors du passage des services des utilisateurs aux API keys.

Attention

N'utilisez pas le superutilisateur elastic dans les applications. Les privilèges d'une API key ne peuvent pas dépasser ceux de l'utilisateur qui l'a créée ; role_descriptors ne fait que les restreindre. Une API key est limitée par un instantané des privilèges de son propriétaire au moment de sa création ; les changements de rôles ultérieurs n'affectent pas les clés existantes. Après un changement de mot de passe, les services utilisant l'ancien mot de passe reçoivent 401 ; planifiez la bascule. La valeur encoded de la réponse de l'API key n'est renvoyée qu'une seule fois ; conservez-la.