Управление доступом к данным on Alertix

Общие сведения

Mon, 01 Jan 0001 00:00:00 +0000

Управление доступом к данным осуществляется в консоли OpenSearch Dashboards. В адресной строке браузера введите ссылку входа в интерфейс.

Используйте для входа учетную запись с назначенной ролью «Администратор ИБ».

Откройте страницу управления ролями и доступом к данным, используя пункт «OpenSearch Plugins\Security» в главном меню. Страница управления ролями и доступом к интерфейсу аналитика служит для отображения настроек аутентифицирующих сервисов и добавления, изменения и удаления пользователей, предоставления им прав на уровнях:

кластера – ко всем узлам (нодам) Платформы;
хранимых данных – к индексам, документам, и отдельным полям документов;
действий с данными – чтение, запись, и т.д.

Просмотр конфигурации аутентифицирующих сервисов

Mon, 01 Jan 0001 00:00:00 +0000

В качестве аутентифицирующих сервисов могут использоваться более 69 различных сервисов, наиболее востребованные среди них:

Basic internal auth domain – внутренний аутентифицирующий сервис, автоматически настраиваемый при установке Платформы;
ldap – внешний сервис аутентификации, на основе доменных учетных записей включая Active Directory. Настраивается при установке Платформы.

Страница просмотра конфигурации служит для отображения текущих параметров и настроек аутентифицирующих сервисов и подключения к ним. Для просмотра настроек на странице управления ролями и доступом нажмите кнопку «Review authentication and authorization».

Добавление и изменение локальных пользователей

Mon, 01 Jan 0001 00:00:00 +0000

Локальные пользователи используются для доступа в интерфейс аналитика, в случае если иной аутентифицирующий сервис недоступен. При установке Платформы в обязательном порядке создается как минимум один пользователь, используемый для первичной настройки интерфейса аналитика, подключения дополнительных аутентифицирующих сервисов и привязки ролей.

Для управления локальными пользователями в разделе управления ролями и доступом выберите пункт «Internal users».

На открывшейся странице управления пользователями представлен список текущих зарегистрированных пользователей.

Для каждой учетной записи из списка доступны следующие действия в меню «Actions».

Добавление и изменение ролей

Mon, 01 Jan 0001 00:00:00 +0000

Роли являются именованными множествами привилегий на уровне кластера, данных (индексов, документов и полей документов) и возможных действий. Роли используются для упрощения управления доступом для работников организации со схожими или идентичными функциями. В Платформе поддерживается иерархическая вложенность ролей: вышестоящая роль включает все привилегии вложенной и дополняет ее дополнительными. Дополнительно для ролей могут быть определены группы действий (множества действий, необходимых для выполнения функций).

Для управления группами действий в разделе управления ролями и доступом выберите пункт «Permissions».

Привязка ролей к учетным записям пользователей

Mon, 01 Jan 0001 00:00:00 +0000

Привязка ролей к учетным записям пользователей возможна в интерфейсе изменения роли.

Для управления привязкой ролей в разделе управления ролями и доступом выберите пункт «Roles».

Для привязки ранее созданной роли к пользователям нажмите на имя роли в списке ролей. В открывшемся окне переключитесь на вкладку «Mapped users» и нажмите на кнопку «Manage mapping».

Далее в открывшемся окне заполните поля формы:

Users – перечислите имена учетных записей пользователей, которым будет назначена роль. Для доменных учетных записей – введите значение атрибута пользователей, выбранного в качестве используемого для определения имени учетной записи (см. раздел Просмотр конфигурации аутентифицирующих сервисов, по умолчанию - sAMAccountName);
Backend roles – роли, определяемые внешним аутентифицирующим сервисом. Например, LDAP. Использование данных ролей не обязательно.

Добавление пользователей с административными правами

Mon, 01 Jan 0001 00:00:00 +0000

Процедура добавления пользователя с административными полномочиями невозможна через веб-интерфейс. Для добавления нового пользователя необходимо выгрузить конфигурацию модуля Opensearch Security, подключившись к хосту с установленным Opensearch:

docker exec -it <имя_контейнера> /bin/bash
cd config/opensearch-security
/usr/share/opensearch/plugins/opensearch-security/tools/securityadmin.sh -icl -nhnv -cert
/usr/share/opensearch/config/kirk.pem -cacert
/usr/share/opensearch/config/cas.pem -key
/usr/share/opensearch/config/kirk-key.pem -h <адрес_узла> -p <транспортный_порт> –r

Где <имя_контейнера> – имя контейнера с узлом Opensearch, правила наименования контейнеров см. в таблице настоящего руководства.

<транспортный_порт> - номер порта

<адрес_узла> - адрес узла

Команда выполнит выгрузку файлов action_groups.yml, config.yml, internal_users.yml, roles_mapping.yml и roles.yml, присоединив к имени дату выгрузки, чтобы не затирать оригинальные.