Le support RBAC est désormais disponible dans ECE 2.3 Découvrez comment configurer différents utilisateurs, vous connecter à LDAP, SAML et Active Directory, et

<p>Bonne nouvelle&nbsp;! Avec la sortie d’Elastic&nbsp;Cloud&nbsp;Enterprise (ECE)&nbsp;2.3, le contrôle d'accès basé sur les rôles et l’authentification avec des sources externes sont désormais disponibles. Grâce à ces fonctionnalités, vous pouvez contrôler l’accès de vos utilisateurs à la plateforme ECE en fonction de leur rôle. Vous pouvez ajouter des utilisateurs natifs dans ECE et connecter vos propres serveurs de répertoire ou fournisseurs d’identité pour concéder un accès à vos utilisateurs existants.
</p><p>Nous avions initialement ajouté un support bêta pour ces fonctionnalités dans <a href="/fr/blog/elastic-cloud-enterprise-2-2-0-released" target="_blank">ECE&nbsp;2.2</a>. Outre la correction des bugs dans la version&nbsp;2.3, nous avons ajouté un support pour Active&nbsp;Directory, en plus des options LDAP et SAML existantes.
</p><h2>Comment ça fonctionne&nbsp;?</h2><p>Lorsque l’on active RBAC pour ECE, on ajoute un déploiement de sécurité, c’est-à-dire un déploiement système qui gère l’ensemble de la configuration d’authentification et les autorisations. Lorsqu’un utilisateur essaye de se connecter, ECE vérifie l’authentification à l’aide du déploiement de sécurité, et se replie sur les utilisateurs système si nécessaire. Si l’utilisateur réussit à s’authentifier, ECE applique les rôles qui lui sont attribués et les convertit en autorisations détaillées qui contrôlent les données que cet utilisateur peut consulter et les actions qu’il peut effectuer.
</p><p>Remarque&nbsp;: Les rôles ECE d’un utilisateur ne sont pas associés aux mêmes informations d’identification que celles que détient l’utilisateur pour les déploiements hébergés dans ECE. Un utilisateur peut ne pas avoir d’accès à ECE, et avoir cependant un accès administratif aux déploiements hébergés, et inversement.
</p><h2>Quels sont les rôles disponibles&nbsp;?</h2><p>ECE propose un vaste ensemble d’opérations, tant au niveau de la plateforme que du déploiement. Pour que les administrateurs ne perdent pas du temps à définir et à gérer leurs propres définitions de rôle, ECE fournit un ensemble de rôles prédéfinis couvrant la majorité des cas d'utilisation courants. Ces rôles seront maintenus à jour avec l’ajout de fonctionnalités. Vous n’avez donc aucun souci à vous faire de ce côté-là&nbsp;!
</p><p>Les rôles sont décrits ci-dessous. Un utilisateur peut détenir plusieurs rôles et les combiner selon ses besoins. Par exemple, un administrateur de plateforme peut réaliser n’importe quelle action. Il n’est donc pas nécessaire de lui attribuer un autre rôle. Par contre, un visionneur de plateforme peut tout voir, mais ne peut rien changer. Pour y remédier, vous pouvez lui attribuer en plus un rôle de gestionnaire des déploiements.
</p><h3>Administrateur de plateforme</h3><p>L’utilisateur qui dispose de ce rôle peut accéder à toutes les données et réaliser n’importe quelle opération dans ECE, à l’instar d’un utilisateur système <code>admin</code> (ou <code>root</code> dans ECE&nbsp;1.x) créé lors du processus d’installation. Ce rôle sera en général détenu uniquement par les administrateurs en charge de la plateforme ECE intégrale. La section “Platform” (Plateforme) dans l’interface utilisateur est un bon exemple car elle donne différentes informations. Elle indique par exemple qui sont les allocators et quels sont leurs déploiements. Elle permet également de libérer un allocator ou de le placer en mode maintenance.
</p><h3>Visionneur de plateforme</h3><p>Ce rôle octroie des autorisations de lecture seule pour l’intégralité de la plateforme et les déploiements hébergés. Les autorisations associées sont les mêmes que celles détenues par un utilisateur système <code>readonly</code>. C’est un rôle utile dans le cadre de l’automatisation, par exemple pour monitorer le statut d’ECE.
</p><h3>Gestionnaire des déploiements</h3><p>L’utilisateur qui détient ce rôle peut créer et gérer des déploiements sur la plateforme. Il peut réaliser toutes les actions sur un déploiement&nbsp;: augmentation ou réduction de capacité, configuration d’instantanés, redémarrage de nœuds, réinitialisation de mots de passe et bien plus encore. En revanche, il ne peut pas accéder à des opérations ou ressources au niveau de la plateforme, comme les modèles de déploiement, les configurations d'instances, les allocators, les déploiements système, etc.
</p><p>Ce rôle convient à un utilisateur ayant pour responsabilité de gérer les déploiements, sans avoir besoin d’accéder aux informations au niveau de la plateforme, comme les chefs d’équipe de développement.
</p><h3>Visionneur de déploiements</h3><p>Un utilisateur qui dispose de ce rôle peut voir les déploiements, mais ne peut pas les modifier. C’est un rôle qui convient au personnel de support technique ou aux membres d’une équipe de développement.
</p><h2>Gestion des utilisateurs natifs
</h2><p>Pour vous familiariser avec les capacités RBAC, le plus simple pour commencer est de créer des utilisateurs natifs. Ceux-ci appartiennent au déploiement de sécurité, dans le domaine natif Elasticsearch. Ils ne prennent en charge qu’un nombre restreint d’attributs&nbsp;: nom d'utilisateur, nom complet, e-mail, mot de passe, rôles, et s’ils sont activés ou non.
</p><p>Dans le menu de navigation, cliquez sur "Users" (Utilisateurs) pour afficher vos fournisseurs d’authentification. L’un d’eux est le profil "Native users" (Utilisateurs natifs). Ouvrez le profil&nbsp;: vous accéderez alors à une liste de tous les utilisateurs natifs. La liste inclut deux utilisateurs système créés par le programme d’installation d’ECE. Il n’est pas possible de modifier ou de supprimer ces utilisateurs. Vous ne pouvez pas non plus réinitialiser leurs mots de passe ici (consultez la <a href="/guide/en/cloud-enterprise/current/ece-manage-system-passwords.html">documentation</a> pour en savoir plus sur la réinitialisation des mots de passe).
</p><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt6263f031f9bbb57d/5d39c1b65cb66453b127ab26/rbac-ece-2-3-native-users-demo-blog.gif" data-sys-asset-uid="blt6263f031f9bbb57d" alt="Exemple de création d’utilisateurs natifs" style="display: block; margin: auto;">
</p><p>Dans la page "Native users" (Utilisateurs natifs), vous pouvez créer, modifier et supprimer des utilisateurs natifs. Ces utilisateurs peuvent se connecter à ECE, tout comme les utilisateurs système. Leur accès est contrôlé par les rôles que vous leur attribuez.
</p><h2>Page des paramètres utilisateur
</h2><p>Dans la version&nbsp;2.3, ECE dispose désormais d’une page relative aux paramètres utilisateur. Cliquez sur l’icône utilisateur en haut à droite de la page, et cliquez sur "Settings" (Paramètres). Si vous êtes connecté en tant qu’utilisateur natif, vous pouvez modifier votre nom et votre e-mail, ou changer de mot de passe. Si vous êtes connecté en tant qu’utilisateur avec un fournisseur d’authentification externe, vous accéderez à une page en lecture seule contenant quelques informations de base, le nom et le type de profil d’authentification, et les rôles que vous détenez.
</p><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt29033bf68c6711b2/5d39c1f1c3a6d753ac37c0b5/rbac-ece-2-3-user-settings-blog.gif" data-sys-asset-uid="blt29033bf68c6711b2" alt="Exemple de modification des paramètres utilisateur" style="display: block; margin: auto;">
</p><h2>Fournisseurs d’authentification externe
</h2><p>Si vous avez déjà un serveur LDAP, Active&nbsp;Directory ou SAML, vous pouvez configurer ECE de sorte à utiliser ce serveur dans le cadre de l’authentification et des autorisations. Vous pouvez même configurer plusieurs serveurs. Les tentatives d’authentification seront effectuées dans l’ordre que vous avez défini, <a href="/guide/en/elastic-stack-overview/7.2/realm-chains.html" target="_blank">comme pour Elasticsearch</a>. Lorsque vous utilisez vos sources d’authentification existantes, vous devez gérer les utilisateurs dans un seul emplacement centralisé. La configuration de mapping des rôles pour un fournisseur externe vous permet de mapper les attributs des utilisateurs aux rôles dans ECE. Ainsi, les éventuels changements apportés aux attributs, comme l’appartenance à un groupe, sont automatiquement récupérés par ECE.
</p><p>Sur la page d’aperçu des fournisseurs d’authentification, cliquez sur "Add provider" (Ajouter un fournisseur) et sélectionnez un type. C’est sur la page suivante que vous configurerez ensuite le fournisseur. Étudions les différentes options de configuration qui s’offrent à nous dans le cadre d’une configuration LDAP de base.
</p><h2></h2><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltb2810d6c8646f88f/5d39c2291f2f0457e07e3c9a/rbac-ece-2-3-create-ldap-provider-blog.gif" data-sys-asset-uid="bltb2810d6c8646f88f" alt="Exemple de création d’un fournisseur LDAP" style="display: block; margin: auto;">
</p><h3>Fournisseur d’authentification LDAP
</h3><p>Paramètres généraux&nbsp;:
</p><ol>
	<li>Chaque profil a un nom. Ce nom ne sert pas seulement à identifier le profil&nbsp;: il permet également de générer un ID de domaine. Remarque&nbsp;: Une fois le profil créé, il n’est pas possible de changer l’ID de domaine.</li>
	<li>Il est nécessaire de définir au moins un serveur LDAP, incluant le protocole <code>ldap:</code> ou <code>ldaps:</code> au démarrage. Si vous optez pour une stratégie d’équilibrage des charges basée sur DNS, vous ne pouvez définir qu’un seul serveur.</li>
	<li>Choisissez une stratégie d’équilibrage des charges en gardant la restriction indiquée ci-dessus à l’esprit.</li>
</ol><p>Certificats de confiance&nbsp;:
</p><ol start="4">
	<li>Si la sécurisation de votre serveur LDAP implique que les clients détiennent des certificats SSL/TLS spécifiques, vous devez préparer un fichier groupé et le mettre à disposition sur ECE via une URL. Pour en savoir plus, consultez la <a href="/guide/en/cloud-enterprise/current/ece-create-ldap-profiles.html#ece-prepare-ldap-certificates" target="_blank">documentation</a>.</li>
	<li>Si votre fichier groupé est protégé par mot de passe, indiquez le mot de passe ici.</li>
</ol><p>Informations d’identification liées&nbsp;:
</p><ol start="6">
	<li>Si des informations d’identification doivent être liées au serveur LDAP, vous pouvez les définir ici.</li>
	<li>Dans le cas contraire, cliquez sur la touche bascule “Bind anonymously” (Lier de façon anonyme).</li>
</ol><p>Paramètres de mode de recherche&nbsp;:
</p><ol start="8">
	<li>Vous pouvez indiquer les détails nécessaires dans le cadre d’une recherche utilisateur. Pour en savoir plus sur ces champs, consultez la <a href="/guide/en/cloud-enterprise/current/ece-create-ldap-profiles.html#ece-ldap-search-mode" target="_blank">documentation</a>. Vous souhaiterez peut-être définir au moins le nom unique de base pour les utilisateurs, p.&nbsp;ex. “cn=users,dc=example,dc=com”.</li>
	<li>Autre possibilité&nbsp;: si vous avez plutôt besoin d’utiliser un modèle pour exécuter des requêtes LDAP, cliquez sur le bouton radio “Template” (Modèle) et fournissez un ou plusieurs modèles.</li>
</ol><p>Paramètres de recherche de groupe&nbsp;:
</p><ol start="10">
	<li>Comme pour les paramètres de mode de recherche, vous pouvez configurer la façon dont ECE doit rechercher les groupes d’un utilisateur. Vous souhaiterez peut-être définir le nom unique de base pour les groupes, p.&nbsp;ex. “ou=groups,dc=example,dc=com”.</li>
</ol><p>Mappings de rôle&nbsp;:
</p><ol start="11">
	<li>Un utilisateur doit détenir un ou plusieurs rôles pour pouvoir effectuer des actions dans ECE. Vous pouvez définir des rôles par défaut, qui seront attribués à tous les utilisateurs réussissant à s’authentifier. Par exemple, vous pourriez concéder à tous les utilisateurs le rôle “Visionneur de déploiements“, ce qui leur permettrait de voir l’ensemble des déploiements hébergés dans ECE, sans pour autant être autorisés à les modifier.</li>
	<li>L’autre méthode qui permet d’attribuer des rôles est le mapping de rôles. Concrètement, de quoi s’agit-il&nbsp;? Ce sont des règles simples qui indiquent que si le nom unique de l’utilisateur ou du groupe correspond à une valeur précise, alors le ou les rôles associés à cette valeur lui sont attribués. Vous pouvez définir autant de mappings que vous le souhaitez. Vous pouvez par exemple mettre en place un mapping qui attribue aux utilisateurs des opérations informatiques un rôle “Visionneur de déploiements“, un deuxième qui concède aux développeurs le rôle de “Gestionnaire des déploiements“, ainsi qu’un troisième qui donne le rôle “Visionneur de plateforme“ à tous les administrateurs.</li>
</ol><p>Lorsque vous avez terminé, cliquez sur <strong>Create profile</strong> (Créer le profil), et ECE reconfigure le déploiement de sécurité. À présent, il est temps de tester si vos mappings fonctionnent. Connectez-vous avec différents utilisateurs LDAP pour vérifier que l’authentification se fait bien et que les rôles attribués sont appropriés. Vous pouvez vérifier directement les rôles sur la page relative aux paramètres utilisateur, ou vous pouvez naviguer sur l’interface utilisateur et vérifier que les éléments auxquels les utilisateurs ont accès et ceux sur lesquels ils peuvent intervenir sont ceux que vous aviez prévus.
</p><h3>Fournisseurs d’authentification Active&nbsp;Directory et SAML
</h3><p>D’un point de vue général, le processus à suivre est similaire à celui appliqué pour LDAP. Vous créez un fournisseur d’authentification SAML ou Active Directory, vous lui donnez un nom, vous précisez la façon dont ECE doit communiquer avec le serveur, et vous définissez les mappings à appliquer.
</p><p>Consultez la documentation pour en savoir plus sur la configuration d’un <a href="/guide/en/cloud-enterprise/current/ece-create-saml-profiles.html" target="_blank">fournisseur d’authentification SAML</a> ou d’un <a href="/guide/en/cloud-enterprise/current/ece-create-ad-profiles.html" target="_blank">fournisseur d’authentification Active&nbsp;Directory</a>.
</p><h3>Support technique API REST
</h3><p>Toutes les opérations décrites ci-dessus peuvent être également réalisées à l’aide de l’<a href="/guide/en/cloud-enterprise/current/ece-restful-api.html" target="_blank">API REST</a>. Par exemple, pour extraire une liste de tous les utilisateurs, même ceux actuellement désactivés&nbsp;:
</p><pre class="prettyprint">GET /api/v1/users?include_disabled=true
</pre><p>Supposons que vous deviez créer un accès pour une nouvelle administratrice système, appelée Sarah. Vous pouvez créer un nouvel utilisateur natif pour elle, comme suit&nbsp;:
</p><pre class="prettyprint">POST /api/v1/users
{
  "user_name": "sarah",
  "security": {
    "roles": ["ece_platform_admin"],
    "password": "deadb33f"
  }
}
</pre><p>Si, par la suite, vous souhaitez modifier l’accès de Sarah, vous pouvez envoyer une requête PATCH avec le champ concerné par la modification. Dans le cas présent, il s’agit des rôles&nbsp;:
</p><pre class="prettyprint">PATCH /api/v1/users/sarah
{
  "security": {
    "roles": ["ece_platform_viewer"]
  }
}
</pre><p>Enfin, vous pouvez supprimer le compte de Sarah en envoyant une requête DELETE&nbsp;:
</p><pre class="prettyprint">DELETE /api/v1/users/sarah
</pre><p>Pour en savoir plus sur les points de terminaison des fournisseurs d’authentification et obtenir des exemples, consultez la <a href="/guide/en/cloud-enterprise/current/Platform_-_Configuration_-_Security_Realms.html" target="_blank">documentation sur l’API REST</a>.
</p><h3 style="background-color: rgb(255, 255, 255);">Lancez-vous aujourd’hui</h3><p style="background-color: rgb(255, 255, 255);">Pour obtenir une liste complète des nouveautés de la version&nbsp;2.3 d’ECE, consultez les <a href="/guide/en/cloud-enterprise/2.3/index.html" target="_blank">notes de publication</a>, et si vous voulez tester par vous-même, lancez-vous aujourd’hui avec une <a href="/fr/downloads/enterprise" target="_blank">version d’essai gratuite de 30&nbsp;jours</a>.
</p>

pile-of-old-keys-full-bleed.jpg

pile-of-old-keys-thumbnail.jpg

Role-based access control and external authentication is GA in ECE 2.3

ECE 2.3 : le contrôle d'accès basé sur les rôles et l’authentification externe sont désormais disponibles !

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Rory Hunter

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Communication Preferences - ONLY for /communication-preferences

<p>En confirmant votre envoi, vous reconnaissez que vous avez lu et que vous acceptez nos <a href="/fr/legal/elastic-cloud-account-terms" target="_self">Conditions générales d'utilisation</a>, et vous acceptez de recevoir les <a href="/fr/legal/privacy-statement#how-we-use-the-information" target="_self">types de notification sélectionnés</a> à l'adresse que vous avez fournie plus haut. Pour en savoir plus ou pour revenir sur votre décision (possible à tout moment), consultez la <a href="/fr/legal/privacy-statement/" target="_self">Déclaration de confidentialité d'Elastic</a>.</p>

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p><p>By submitting this form, I agree to Elastic sharing my contact information with Google Cloud. I also agree to Elastic giving my information to the vendor for the purpose of shipping my food package.</p>

GDPR Text + Google Cloud

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Serverless GDPR Text

<p>En confirmant votre envoi, vous reconnaissez que vous avez lu et que vous acceptez nos <a href="/fr/legal/serverless-preview-terms" target="_self">Conditions générales d'utilisation</a>, et vous permettez à Elastic de <a href="/fr/legal/privacy-statement#how-we-use-the-information" target="_self">vous contacter</a> à propos de produits et services similaires en utilisant les informations que vous avez fournies plus haut. Pour en savoir plus ou pour revenir sur votre décision (possible à tout moment), consultez la <a href="/fr/legal/privacy-statement/" target="_self">Déclaration de confidentialité d'Elastic</a>.</p>

<p>By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.</p>

Cloud Trial GDPR Text

<p>En envoyant votre demande d'inscription, vous acceptez les <a href="/fr/agreements/global/cloud-services-monthly" rel="nofollow">conditions générales d'utilisation d'Elastic Cloud</a>. Vos données personnelles seront traitées conformément à la <a href="/fr/legal/privacy-statement">déclaration de confidentialité d'Elastic</a>.
</p>

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Newsletter GDPR Text

<p>En confirmant votre envoi, vous reconnaissez que vous avez lu et que vous acceptez nos <a href="/fr/legal/terms-of-use" target="_self">Conditions générales d'utilisation</a>, et vous permettez à Elastic de <a href="/fr/legal/privacy-statement#how-we-use-the-information" target="_self">vous contacter</a> à propos de produits et services similaires en utilisant les informations que vous avez fournies plus haut. Pour en savoir plus ou pour revenir sur votre décision (possible à tout moment), consultez la <a href="/fr/legal/privacy-statement/" target="_self">Déclaration de confidentialité d'Elastic</a>.</p>

Explore similar demos

Overview

You'll also receive an email with related content.

You'll also receive an email with related content

Nous vous enverrons plus de contenu susceptible de vous intéresser.

Speakers

Close

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

Le contenu de cette page n'est pas disponible dans la langue sélectionnée. Chez Elastic, nous mettons tout en œuvre pour vous proposer du contenu dans différentes langues. En attendant, nous vous remercions de votre patience !

See more insights

Articles by

Author

Learn more

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Load More

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

Voir à quelle heure débute le webinar dans mon fuseau horaire

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

Si vous ne pouvez pas vous libérer le jour J, inscrivez-vous et nous vous enverrons l'enregistrement. Vous recevrez aussi un e-mail contenant des ressources connexes.

Small image for

On-demand webinar

Featured webinar

Register to Attend

Share on Facebook

Reset all

Upcoming webinar

View more posts

Print

Hosted by

Sign In to Attend

View next

Follow us on Facebook

Share

Highlights

Read less

Thank you for registering. We will send you a confirmation email soon.

Nous vous remercions de votre inscription. Vous allez recevoir un e-mail de confirmation.

Author

Articles by Rory Hunter

ECE 2.3 : le contrôle d'accès basé sur les rôles et l’authentification externe sont désormais disponibles !

Sign up for Elastic Cloud free trial