ロールとネイティブユーザーを作成し、パスワードを変更し、API キーを発行する

コマンド

POST _security/role/log_okuma
{
  "cluster": ["monitor"],
  "indices": [
    { "names": ["log-*"], "privileges": ["read", "view_index_metadata"] }
  ]
}
POST _security/user/rapor_kullanici
{
  "password": "Degistir-123!",
  "roles": ["log_okuma"],
  "full_name": "Rapor Servisi"
}
GET _security/user/rapor_kullanici
# User making this request and its roles:
GET _security/_authenticate
POST _security/user/rapor_kullanici/_password
{
  "password": "Yeni-Sifre-456!"
}
# Time-limited API key with restricted privileges:
POST _security/api_key
{
  "name": "rapor-key",
  "expiration": "30d",
  "role_descriptors": { "log_okuma": { "indices": [ { "names": ["log-*"], "privileges": ["read"] } ] } }
}
# If the elastic user's password is lost (shell on a node):
# bin/elasticsearch-reset-password -u elastic -i

概要

インデックスパターンに対する読み取りアクセスを持つロールと、そのロールを持つ native レルムのユーザーを作成し、パスワードを変更し、呼び出し元の ID を検証し、権限を絞り込んだ有効期限付きの API キーを発行する。

使用する場面

最小権限でレポート用、アプリケーション用、監視用のアカウントを作成する場合、パスワードローテーション時、およびサービスをユーザーから API キーへ移行する場合。

注意

アプリケーションで elastic スーパーユーザーを使用しない。API キーの権限は、それを作成したユーザーの権限を超えることはできない。role_descriptors は権限を絞り込むだけである。API キーは、作成時点の所有者の権限のスナップショットによって制限される。後からロールを変更しても、既存のキーには影響しない。パスワードの変更後、古いパスワードを使用しているサービスは 401 を受け取るため、切り替えを計画する。API キーのレスポンスにある encoded の値は一度しか返されないため、保存しておく。