Die ECE-Unterstützung für rollenbasierte Zugriffssteuerung (Role Based Access Control, RBAC) ist mit 2.3 allgemein verfügbar. Finden Sie heraus, wie Sie mehrere

<p>Mit großer Freude geben wir bekannt, dass die rollenbasierte Zugriffssteuerung und Authentifizierung mit externen Quellen ab Version 2.3 von Elastic Cloud Enterprise (ECE) allgemein verfügbar ist. Mit diesen Funktionen können Sie mehrere Benutzer einrichten, deren Zugriff auf die ECE-Plattform mit Rollen gesteuert wird. Sie können Benutzer nativ in ECE hinzufügen und Ihre eigenen Verzeichnisserver oder Identitätsanbieter verbinden, um den Zugriff für Ihre vorhandenen Benutzer zu konfigurieren.
</p><p>Wir haben die Beta-Unterstützung für diese Funktionen ursprünglich in <a href="/de/blog/elastic-cloud-enterprise-2-2-0-released" target="_blank">ECE 2.2</a> hinzugefügt. Mit Version 2.3 haben wir nicht nur Bugs ausgebügelt, sondern unterstützen jetzt neben den vorhandenen LDAP- und SAML-Optionen auch Active Directory.
</p><h2>Wie funktioniert die Lösung?</h2><p>Wenn Sie RBAC für ECE aktivieren, wird ein Sicherheits-Deployment zum System hinzugefügt, mit dem Sie die Authentifizierungskonfiguration und die Berechtigungen verwalten können. Wenn ein Benutzer versucht, sich anzumelden, überprüft ECE die Authentifizierung mithilfe des Sicherheits-Deployments und führt bei Bedarf ein Fallback auf die Systembenutzer durch. Wenn sich ein Benutzer erfolgreich authentifiziert, wendet ECE die zugewiesenen Rollen an und übersetzt sie in differenzierte Berechtigungen, um festzulegen, welche Daten der Benutzer abrufen bzw. welche Aktionen er ausführen kann.
</p><p>Achtung: Die ECE-Rollen der Benutzer sind separat von den Anmeldeinformationen der Benutzer für die in ECE gehosteten Deployments. Ein Benutzer kann beispielsweise keinen Zugriff auf ECE haben, dafür aber Administratorzugriff auf die gehosteten Deployments, oder umgekehrt.
</p><h2>Welche Rollen sind verfügbar?</h2><p>ECE bietet vielfältige Operationen auf Plattform- und auf Deployment-Ebene an. Um Administratoren die Definition und Pflege ihrer eigenen Rollendefinitionen zu ersparen, wird ECE mit einer Reihe von vordefinierten Rollen ausgeliefert, die die gängigsten Anwendungsfälle abdecken. Diese Rollen werden laufend aktualisiert, wenn neue Funktionen eingeführt werden, damit Sie Ihre Definitionen nicht selbst pflegen müssen.
</p><p>Unten finden Sie eine Beschreibung der Rollen. Jeder Benutzer kann eine Kombination aus mehreren Rollen haben. Ein „Platform Admin“ hat beispielsweise alle Berechtigungen und braucht daher keine weiteren Rollen. Ein „Platform Viewer“ kann sämtliche Daten anzeigen, aber keine Änderungen vornehmen. Diese Rolle kann daher mit der Rolle „Deployments Manager“ kombiniert werden.
</p><h3>Platform Admin</h3><p>Benutzer mit dieser Rolle können sämtliche Daten anzeigen und alle Operationen in ECE auf dieselbe Weise ausführen wie der <code>admin</code>-Benutzer auf Systemebene (bzw. <code>root</code> in ECE 1.x), der bei der Installation erstellt wird. Diese Rolle wird normalerweise nur an Administratoren vergeben, die für die gesamte ECE-Plattform verantwortlich sind. Der Abschnitt „Platform“ in der GUI ist ein gutes Beispiel. In diesem Abschnitt werden Informationen über Allocators und ihre Deployments angezeigt, und Allocators können freigegeben oder in den Wartungsmodus versetzt werden.
</p><h3>Platform Viewer</h3><p>Benutzer mit dieser Rolle haben Leseberechtigungen für die gesamte Plattform und die gehosteten Deployments. Die zugewiesenen Berechtigungen entsprechen denen des <code>readonly</code>-Benutzers auf Systemebene. Dies ist hilfreich, um beispielsweise den Status von ECE zu überwachen.
</p><h3>Deployments Manager</h3><p>Benutzer mit dieser Rolle können die Deployments in der Plattform erstellen und verwalten. Benutzer mit dieser Rolle können sämtliche Aktionen für ein Deployment ausführen: Scale-Up oder Scale-Down, Snapshots konfigurieren, Knoten neu starten, Passwörter zurücksetzen und mehr. Benutzer mit dieser Rolle haben keinen Zugang zu Operationen auf Plattformebene und zu Ressourcen wie Deployment-Vorlagen, Instanzkonfigurationen, Allocators, System-Deployments usw.
</p><p>Diese Rolle eignet sich für Benutzer, die zwar Deployments verwalten müssen, aber keine Informationen auf Plattformebene benötigen, z.&nbsp;B. die Leiter von Entwicklungsteams.
</p><h3>Deployments Viewer</h3><p>Benutzer mit dieser Rolle können Deployments zwar anzeigen, jedoch keinerlei Änderungen vornehmen. Diese Rolle eignet sich für Supportmitarbeiter oder Mitglieder von Entwicklungsteams.
</p><h2>Native Benutzer verwalten
</h2><p>Die einfachste Art, um mit RBAC in ECE zu beginnen, ist die Erstellung von nativen Benutzern. Diese Benutzer werden im Sicherheits-Deployment im nativen Elasticsearch-Realm aufbewahrt. Sie unterstützen nur eine begrenzte Anzahl an Attributen: Benutzername, kompletter Name, E-Mail, Passwort, Rollen und ein Aktivierungs-Flag.
</p><p>Klicken Sie im Navigationsmenü auf „Users“, um Ihre Authentifizierungsanbieter anzuzeigen, unter denen sich auch Ihr „Native Users“-Profil befindet. Öffnen Sie das Profil, um eine Liste sämtlicher nativer Benutzer anzuzeigen. Die Liste enthält auch die beiden Systembenutzer, die vom ECE-Installationsprogramm erstellt wurden. Diese Benutzer können nicht bearbeitet oder gelöscht werden, und ihre Passwörter können an dieser Stelle nicht zurückgesetzt werden. Weitere Informationen zum Zurücksetzen von Passwörtern finden Sie in der <a href="/guide/en/cloud-enterprise/current/ece-manage-system-passwords.html">Dokumentation</a>.
</p><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt6263f031f9bbb57d/5d39c1b65cb66453b127ab26/rbac-ece-2-3-native-users-demo-blog.gif" data-sys-asset-uid="blt6263f031f9bbb57d" alt="Demo: Erstellung von nativen Benutzern" style="display: block; margin: auto;">
</p><p>Auf der Seite „Native Users“ können Sie native Benutzer erstellen, bearbeiten und löschen. Diese Benutzer können sich genau wie Systembenutzer bei ECE anmelden, und ihr Zugriff wird durch die Rollen gesteuert, die Sie ihnen zugewiesen haben.
</p><h2>Seite „User Settings“
</h2><p>In ECE 2.3 haben wir auch eine Seite mit Benutzereinstellungen hinzugefügt. Klicken Sie auf das Benutzersymbol oben rechts auf der Seite, und klicken Sie auf „Settings“. Wenn Sie als nativer Benutzer angemeldet sind, können Sie Ihren Namen und Ihre E-Mail-Adresse bearbeiten oder Ihr Passwort ändern. Wenn Sie als Benutzer von einem externen Authentifizierungsanbieter angemeldet sind, wird eine schreibgeschützte Seite mit grundlegenden Informationen, dem Namen und Typ des Authentifizierungsprofils und Ihren zugewiesenen Rollen angezeigt.
</p><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt29033bf68c6711b2/5d39c1f1c3a6d753ac37c0b5/rbac-ece-2-3-user-settings-blog.gif" data-sys-asset-uid="blt29033bf68c6711b2" alt="Demo: Benutzereinstellungen bearbeiten" style="display: block; margin: auto;">
</p><h2>Externe Authentifizierungsanbieter
</h2><p>Wenn Sie bereits einen LDAP, Active Directory- oder SAML-Server haben, kann ECE diesen Server für Authentifizierung und Autorisierung verwenden. Sie können sogar mehrere Server konfigurieren. In diesem Fall wird die Authentifizierung in der festgelegten Reihenfolge versucht, <a href="/guide/en/elastic-stack-overview/7.2/realm-chains.html" target="_blank">genau wie bei Elasticsearch</a>. Wenn Sie Ihre vorhandenen Authentifizierungsquellen verwenden, können Sie Ihre Benutzer an einem zentralen Ort verwalten. Mit der Konfiguration der Rollenzuordnung für externe Anbieter können Sie die Benutzerattribute zu Rollen in ECE zuordnen, und ECE übernimmt Änderungen an den Benutzerattributen, z.&nbsp;B. an Gruppenmitgliedschaften, automatisch.
</p><p>Klicken Sie in der Übersicht der Authentifizierungsanbieter auf „Add provider“, und wählen Sie einen Typ aus. Auf der nächsten Seite können Sie den Anbieter konfigurieren. Wir werden uns die Konfigurationsoptionen für ein einfaches LDAP-Setup ansehen.
</p><h2></h2><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltb2810d6c8646f88f/5d39c2291f2f0457e07e3c9a/rbac-ece-2-3-create-ldap-provider-blog.gif" data-sys-asset-uid="bltb2810d6c8646f88f" alt="Demo: Erstellen eines LDAP-Anbieters" style="display: block; margin: auto;">
</p><h3>LDAP-Authentifizierungsanbieter
</h3><p>General LDAP settings:
</p><ol>
	<li>Jedes Profil hat einen Namen. Dieser Name dient nicht nur als Bezeichner für das Profil, sondern auch zum Generieren einer Realm-ID. Achtung: Die Realm-ID bleibt nach der Erstellung eines Profils immer gleich.</li>
	<li>Legen Sie mindestens einen LDAP-Server fest, inklusive der Protokollangabe <code>ldap:</code> oder <code>ldaps:</code> am Anfang. Wenn Sie eine DNS-basierte Strategie für den Lastenausgleich verwenden, können Sie nur einen einzigen Server angeben.</li>
	<li>Wählen Sie eine Strategie für den Lastenausgleich aus. Beachten Sie dabei die oben beschriebene Einschränkung.</li>
</ol><p>Trusted certificates:
</p><ol start="4">
	<li>Wenn der Schutzmechanismus Ihres LDAP-Servers voraussetzt, dass die Clients bestimmte SSL/TLS-Zertifikate benötigen, dann müssen Sie eine Paketdatei vorbereiten und über eine URL für ECE zugänglich machen. Weitere Details finden Sie in der <a href="/guide/en/cloud-enterprise/current/ece-create-ldap-profiles.html#ece-prepare-ldap-certificates" target="_blank">Dokumentation</a>.</li>
	<li>Falls Ihr Paket mit einem Passwort geschützt ist, geben Sie das Passwort hier ein.</li>
</ol><p>Bind credentials:
</p><ol start="6">
	<li>Falls für die Bindung mit dem LDAP-Server Anmeldeinformationen erforderlich sind, können Sie sie hier festlegen.</li>
	<li>Falls keine Anmeldeinformationen erforderlich sind, klicken Sie auf die Umschaltfläche „Bind anonymously“.</li>
</ol><p>Search mode settings:
</p><ol start="8">
	<li>Sie können die einzelnen Details für eine Benutzersuche festlegen. Weitere Informationen zu diesen Feldern finden Sie in der <a href="/guide/en/cloud-enterprise/current/ece-create-ldap-profiles.html#ece-ldap-search-mode" target="_blank">Dokumentation</a>. Als Minimum sollten Sie den Wert „Base DN for users“ festlegen, z.&nbsp;B. „cn=users,dc=example,dc=com“.</li>
	<li>Falls Sie eine Vorlage verwenden müssen, um LDAP-Abfragen zu stellen, klicken Sie auf das Optionsfeld „Template“, und wählen Sie eine oder mehrere Vorlagen aus.</li>
</ol><p>Group search settings:
</p><ol start="10">
	<li>Analog zu den Einstellungen für den Suchmodus können Sie hier festlegen, wie ECE nach den Gruppen eines Benutzers suchen soll. Wir empfehlen, hier den Wert „Base DN for groups“ festzulegen, z.&nbsp;B. „ou=groups,dc=example,dc=com“.</li>
</ol><p>Role mappings:
</p><ol start="11">
	<li>Jeder Benutzer benötigt eine oder mehrere Rollen, um mit ECE interagieren zu können. Sie können Standardrollen festlegen, die allen Benutzern nach der erfolgreichen Authentifizierung zugewiesen werden. Wenn Sie beispielsweise allen Benutzern die Rolle „Deployments Viewer“ zuweisen, können die Benutzer alle in ECE gehosteten Deployments anzeigen, ohne jedoch die Daten bearbeiten zu können.</li>
	<li>Alternativ können Sie die Rollen auch über die Rollenzuordnung verteilen. Diese Regeln legen fest, dass bestimmte Rollen zugewiesen werden, wenn ein Benutzer-DN oder Gruppen-DN mit einem bestimmten Wert übereinstimmt. Sie können beliebig viele Zuordnungen einrichten. So können etwa alle IT Ops-Benutzer die Rolle „Deployment Viewer“ erhalten, alle Entwickler die Rolle „Deployment Manager“, und alle Administratoren die Rolle „Platform Viewer“.</li>
</ol><p>Wenn Sie anschließend auf <strong>Create profile</strong> klicken, übernimmt ECE die neue Konfiguration für das Sicherheits-Deployment. Anschließend sollten Sie sich mit verschiedenen LDAP-Benutzern anmelden, um zu überprüfen, ob die Authentifizierung funktioniert und die richtigen Rollen zugewiesen werden. Sie können die Rollen entweder direkt auf der Seite „User Settings“ überprüfen, oder Sie können durch die GUI navigieren und sich vergewissern, dass die erwarteten Daten und Funktionen angezeigt werden.
</p><h3>Active Directory- und SAML-Authentifizierungsanbieter
</h3><p>Aus der Perspektive von ECE funktioniert dieser Prozess ähnlich wie für LDAP. Sie erstellen einen SAML- oder Active Directory-Authentifizierungsanbieter, geben ihm einen Namen, legen fest, wie ECE mit dem Server kommuniziert und definieren die gewünschten Zuordnungen.
</p><p>In der Dokumentation finden Sie eine vollständige Anleitung zum Konfigurieren eines <a href="/guide/en/cloud-enterprise/current/ece-create-saml-profiles.html" target="_blank">SAML-Authentifizierungsanbieters</a> oder eines <a href="/guide/en/cloud-enterprise/current/ece-create-ad-profiles.html" target="_blank">Active Directory-Authentifizierungsanbieters</a>.
</p><h3>REST API-Unterstützung
</h3><p>Alle oben beschriebenen Aktionen können auch mit der <a href="/guide/en/cloud-enterprise/current/ece-restful-api.html" target="_blank">REST API</a> ausgeführt werden. So können Sie beispielsweise eine Liste aller Benutzer abrufen, inklusive der aktuell deaktivierten Benutzer:
</p><pre class="prettyprint">GET /api/v1/users?include_disabled=true
</pre><p>Angenommen, Sie möchten den Zugriff für die neue Systemadministratorin Sarah konfigurieren. Sie können den neuen nativen Benutzer für sie wie folgt erstellen:
</p><pre class="prettyprint">POST /api/v1/users
{
  "user_name": "sarah",
  "security": {
    "roles": ["ece_platform_admin"],
    "password": "deadb33f"
  }
}
</pre><p>Um Sarahs Zugriff zu ändern, können Sie anschließend eine PATCH-Anfrage mit dem Feld senden, das Sie ändern möchten, in diesem Fall die Rollen:
</p><pre class="prettyprint">PATCH /api/v1/users/sarah
{
  "security": {
    "roles": ["ece_platform_viewer"]
  }
}
</pre><p>Bei Bedarf können Sie Sarahs Konto mit einer DELETE-Anfrage löschen:
</p><pre class="prettyprint">DELETE /api/v1/users/sarah
</pre><p>Weitere Details und Beispiele für die Endpunkte der Authentifizierungsanbieter finden Sie in der <a href="/guide/en/cloud-enterprise/current/Platform_-_Configuration_-_Security_Realms.html" target="_blank">Dokumentation der REST API</a>.
</p><h3 style="background-color: rgb(255, 255, 255);">Jetzt loslegen</h3><p style="background-color: rgb(255, 255, 255);">Eine vollständige Liste der Änderungen in ECE 2.3 finden Sie in den <a href="/guide/en/cloud-enterprise/2.3/index.html" target="_blank">Versionshinweisen</a>, und falls Sie die Lösung selbst ausprobieren möchten, können Sie noch heute eine <a href="/de/downloads/enterprise" target="_blank">kostenlose 30-tägige Testversion</a> aktivieren.
</p>

pile-of-old-keys-full-bleed.jpg

pile-of-old-keys-thumbnail.jpg

Role-based access control and external authentication is GA in ECE 2.3

Rollenbasierte Zugriffssteuerung und externe Authentifizierung in ECE 2.3 allgemein verfügbar

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Rory Hunter

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Communication Preferences - ONLY for /communication-preferences

<p>Durch das Absenden erklären Sie, dass Sie unsere <a href="/de/legal/elastic-cloud-account-terms" target="_self">Nutzungsbedingungen</a> gelesen haben und mit ihnen einverstanden sind und dass Sie Elastic erlauben, <a href="/de/legal/privacy-statement#how-we-use-the-information" target="_self">ausgewählte Nachrichten und Informationen</a> an die oben von Ihnen bereitgestellten Kontaktangaben zu senden. Weitere Informationen, darunter auch dazu, wie Sie Ihre Einwilligung zurückziehen können, finden Sie in der <a href="/de/legal/privacy-statement/" target="_self">Datenschutzerklärung von Elastic</a>.</p>

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Serverless GDPR Text

<p>Durch das Absenden erklären Sie, dass Sie unsere <a href="/de/legal/serverless-preview-terms" target="_self">Nutzungsbedingungen</a> gelesen haben und mit ihnen einverstanden sind und dass Sie Elastic erlauben, bezüglich unserer zugehörigen Produkte und Dienstleistungen und unter Nutzung der von Ihnen oben bereitgestellten Kontaktangaben <a href="/de/legal/privacy-statement#how-we-use-the-information" target="_self">mit Ihnen in Kontakt zu treten</a>. Weitere Informationen, darunter auch dazu, wie Sie Ihre Einwilligung zurückziehen können, finden Sie in der <a href="/de/legal/privacy-statement/" target="_self">Datenschutzerklärung von Elastic</a>.</p>

<p>By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.</p>

Cloud Trial GDPR Text

<p>Beim Absenden akzeptieren Sie die <a href="/de/agreements/global/cloud-services-monthly" rel="nofollow">Nutzungsbedingungen von Elastic Cloud</a>. Die Verarbeitung Ihrer personenbezogenen Daten unterliegt der <a href="/de/legal/privacy-statement">Datenschutzerklärung von Elastic</a>.
</p>

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Newsletter GDPR Text

<p>Durch das Absenden erklären Sie, dass Sie unsere <a href="/de/legal/terms-of-use" target="_self">Nutzungsbedingungen</a> gelesen haben und mit ihnen einverstanden sind und dass Sie Elastic erlauben, bezüglich unserer zugehörigen Produkte und Dienstleistungen und unter Nutzung der von Ihnen oben bereitgestellten Kontaktangaben <a href="/de/legal/privacy-statement#how-we-use-the-information" target="_self">mit Ihnen in Kontakt zu treten</a>. Weitere Informationen, darunter auch dazu, wie Sie Ihre Einwilligung zurückziehen können, finden Sie in der <a href="/de/legal/privacy-statement/" target="_self">Datenschutzerklärung von Elastic</a>.</p>

Explore similar demos

Overview

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

Der Inhalt dieser Seite ist in der ausgewählten Sprache nicht verfügbar. Wir bei Elastic arbeiten daran, die bereitgestellten Inhalte in verschiedenen Sprachen anzubieten. Bis dahin bitten wir Sie um etwas Geduld und hoffen auf Ihr Verständnis!

Author

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Articles by

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Load More

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

Sie können nicht dabei sein? Registrieren Sie sich, damit wir Ihnen die Aufzeichnung zukommen lassen können. Außerdem erhalten Sie eine E‑Mail mit Begleitmaterial.

Small image for

On-demand webinar

Featured webinar

Register to Attend

Share on Facebook

Reset all

Upcoming webinar

View more posts

Print

Hosted by

Sign In to Attend

View next

Follow us on Facebook

Share

Highlights

Learn More

Read less

You'll also receive an email with related content

Wir schicken Ihnen zudem relevante Informationen, die von Interesse sein könnten.

Thank you for registering. We will send you a confirmation email soon.

Vielen Dank für Ihre Registrierung. Sie erhalten in Kürze eine Bestätigungs-E‑Mail von uns.

Author

Articles by Rory Hunter

Rollenbasierte Zugriffssteuerung und externe Authentifizierung in ECE 2.3 allgemein verfügbar

Sign up for Elastic Cloud free trial