创建角色和 native 用户、修改密码、签发 API key

命令

POST _security/role/log_okuma
{
  "cluster": ["monitor"],
  "indices": [
    { "names": ["log-*"], "privileges": ["read", "view_index_metadata"] }
  ]
}
POST _security/user/rapor_kullanici
{
  "password": "Degistir-123!",
  "roles": ["log_okuma"],
  "full_name": "Rapor Servisi"
}
GET _security/user/rapor_kullanici
# User making this request and its roles:
GET _security/_authenticate
POST _security/user/rapor_kullanici/_password
{
  "password": "Yeni-Sifre-456!"
}
# Time-limited API key with restricted privileges:
POST _security/api_key
{
  "name": "rapor-key",
  "expiration": "30d",
  "role_descriptors": { "log_okuma": { "indices": [ { "names": ["log-*"], "privileges": ["read"] } ] } }
}
# If the elastic user's password is lost (shell on a node):
# bin/elasticsearch-reset-password -u elastic -i

作用

创建对某个索引模式具有读权限的角色和持有该角色的 native realm 用户，修改密码，验证调用者身份，并签发权限收窄、有时限的 API key。

适用场景

按最小权限创建报表、应用或监控账户时、密码轮换期间，以及将服务从用户迁移到 API key 时。

注意

不要在应用中使用 elastic 超级用户。API key 的权限不能超过创建它的用户；role_descriptors 只能收窄权限。API key 受限于其所有者在创建时刻的权限快照；之后的角色变更不影响现有 key。修改密码后，使用旧密码的服务会收到 401；请规划切换。API key 响应中的 encoded 值只返回一次；请妥善保存。