elasticsearch's basic auth plugin "Jetty"

旧城等待， 2021-11-01 20:20 174阅读 0赞

Elasticsearch本身是沒有安全性的功能, 我們得透過plugin來安裝, 這次我選擇了[elasticsearch-jetty][],此外也有人用nginx反向代理來進行控制.

首先我們得先注意到Elasticsearch與Jetty Plugin的版本號對應, 在[這裡][Link 1]可以查看, 如果版本號沒對應上就無法正常工作了.

這次範例是用1.2.1版本(Elasticsearch & Jetty Plugin), 到es的bin目錄下執行

plugin -url https://oss-es-plugins.s3.amazonaws.com/elasticsearch-jetty/elasticsearch-jetty-1.2.1.zip -install elasticsearch-jetty-1.2.1

接下來我們要取代es原來的Jetty, 請到es目錄下的**config**文件夾下面打開 *elasticsearch.yml* 檔案,接這找出http:type這個section,找不到就直接添加, 改如下(注意冒號後面有個空格)

http.type: com.sonian.elasticsearch.http.jetty.JettyHttpServerTransportModule

接下來我們用curl來測試一下,es的http server的jetty版本是否正確

$ curl -I "http://localhost:9200/"
    HTTP/1.1 200 OK
    Content-Type: text/plain;charset=UTF-8
    Access-Control-Allow-Origin: *
    Content-Length: 0
    Server: Jetty(8.1.14.v20131031)

接下來我們要開始配置jetty了, jetty配置文件會使用jetty-\*.xml檔名來存放配置內容, 而且是可以配置多個檔案的, 其好處是讓我們可以做些分類. 此配置同樣在 *elasticsearch.yml* 檔案內

sonian.elasticsearch.http.jetty.config: jetty.xml, jetty-hash-auth.xml,jetty-restrict-all.xml

請勿盲目的複製以上代碼, 後面所出現的3個檔案名jetty.xml, jetty-hash-auth.xml,jetty-restrict-all.xml是實際存在檔案, 而且是存在es目錄下的**config**, 請確保你的檔案位置與名稱是否正確, 注意配置檔案名稱順序不要調換.

這個檔案的sample可以在es目錄下的\\plugins\\jetty-1.2.1找到, 接著把他們複製到es目錄下的**config**.

接下來我們要把焦點放到Jertty的xml配置檔上面, 這裡主要關心的是[jetty-hash-auth.xml][],[jetty-restrict-all.xml][]這兩個檔案, 也可參考[官方文檔][Link 2]的說明.

首先來看[jetty-hash-auth.xml][], 我們可以發現文件內有一串字**/realm.properties**,其實這是一個檔案, 我們必須在es目錄下的**config**下新增**realm.properties**檔案, 這裡面擺放的就是basic\_auth的帳號密碼.

superuser: Adm1n,admin,readwrite
    user: Passw0rd,readwrite
    me: CRYPT:meyvITIbcrTAY,readwrite
    read: 1234,readonly
    guest: 1111

上面我列了一些範例, 配置格式為 username: password,role1,role2 這個配置是最基礎的密碼是明碼(有時候並不想給人直接看到).

me: CRYPT:meyvITIbcrTAY,readwrite 這個範例的密碼是被混淆過的,逗號分個開來的仍然是role, 只是密碼是CRYPT:meyvITIbcrTAY這種格式.

這裡順便也來給出如何產生密碼的方法, 執行java -cp lib/jetty-util-xxx.jar org.eclipse.jetty.util.security.Password username password, XXX是版本號.

下面範例我是用es目錄下的\\plugins\\jetty-1.2.1的jetty-util-8.1.14.v20131031.jar.

java -cp jetty-util-8.1.14.v20131031.jar org.eclipse.jetty.util.security.Password guest guestPwd
    guestPwd
    OBF:20771x1b206z
    MD5:639bae9ac6b3e1a84cebb7b403297b79
    CRYPT:guest/ks90E221EY

我們可以選其中一個作為 **realm.properties**檔案內文的帳號密碼

guest: CRYPT:guest/ks90E221EY或guest: MD5:639bae9ac6b3e1a84cebb7b403297b79, 關於basic\_auth跟用戶名與密碼有關的說明就到這裡.

關於Role的控制才是比較複雜的, 我們可以達到很多角色來限制訪問與操握es的功能, 例如不可以刪除, 只讀, 數據隔離, es的系統配置權限..等等. 注意, 以下所有配置都圍繞在 [jetty-restrict-all.xml][]檔案裡面

先來看這個section

<New class="org.eclipse.jetty.util.security.Constraint"
             id="DefaultSecurityConstraint">
            <Set name="authenticate">true</Set>
            <Set name="name">BASIC</Set>
            <Set name="roles">
                <Array type="java.lang.String">
                    <Item>readwrite</Item>
                </Array>
            </Set>
    </New>
    
    <New class="org.eclipse.jetty.util.security.Constraint"
         id="NoneSecurityConstraint">
          <Set name="authenticate">false</Set>
    </New>

根據我的理解這是在創建一個實例,id類似於變量名(DefaultSecurityConstraint), 根據名稱來看這是一個約束class, 開啟authenticate, 設置驗證方式BASIC,我們可以在roles段添加一些語意性的名子(這邊是readwrite), 另一個是沒有權限控制的約束(NoneSecurityConstraint).

注意到readwrite這個字串, 這跟我們在配置**realm.properties**裡面的角色是對應的.

接下來這段, 有關handler的部分尚未研究, 我們先關注到Call元素的method, pathSpec, constraint.

下面的範例是指: GET http://127.0.0.1:9200, GET http://127.0.0.1:9200/\_search?q=\* 都可以不需要通過basic\_auth驗證就可以訪問, 其他例如: GET http://127.0.0.1:9200/\_plugin/marvel 則需要權限.

<Set name="handler">
            <New class="com.sonian.elasticsearch.http.jetty.security.RestConstraintSecurityHandler"
                 id="DefaultSecurityHandler">
    
                <Set name="handler"><Ref id="OldHandler"/></Set>
    
                <Set name="loginService">
                    
                    <Ref id="DefaultLoginService"/>
                </Set>
    
                <Set name="realmName">DefaultRealm</Set>
                <Call name="addConstraintMapping">
                    <Arg>
                        <New class="org.eclipse.jetty.security.ConstraintMapping">
                            <Set name="pathSpec">*</Set>
                            <Set name="constraint">
                                <Ref id="DefaultSecurityConstraint"/>
                            </Set>
                        </New>
                    </Arg>
                </Call>
    
                <Call name="addConstraintMapping">
                    <Arg>
                        <New class="org.eclipse.jetty.security.ConstraintMapping">
                            <Set name="method">GET</Set>
                            <Set name="pathSpec">
                                /,/_search
                            </Set>
                            <Set name="constraint">
                                <Ref id="NoneSecurityConstraint"/>
                            </Set>
                        </New>
                    </Arg>
                </Call>
            </New>
    </Set>

pathSpec主要是配置可以分訪問的uri, 分別用逗號隔開. 注意這個Set Setion需要段行那怕只有一個url規則, 下面是針對rui根的配置

method是指允許的http的動詞, GET, PUT, POST...是否可以設置多個尚未研究.

constraint配置之前的角色約束.

以上的配置目前都需要重新啟動es, 關於這樣的方案有待研究, 或者是我們要正確的去使用uri約束, 而不是把所有的業務相關過濾行為都放在這個配置檔案.

转载于:https://www.cnblogs.com/jHenry/p/3805738.html

[elasticsearch-jetty]: https://github.com/sonian/elasticsearch-jetty
[Link 1]: https://github.com/sonian/elasticsearch-jetty#compatibility
[jetty-hash-auth.xml]: https://github.com/sonian/elasticsearch-jetty/blob/master/config/jetty-hash-auth.xml
[jetty-restrict-all.xml]: https://github.com/sonian/elasticsearch-jetty/blob/master/config/jetty-restrict-all.xml
[Link 2]: https://github.com/sonian/elasticsearch-jetty#configuration-files