ECE 2.3でRBACサポートの一般提供が開始されました。複数のユーザーの設定、LDAP、SAML、およびActive Directoryへの接続、ロールを使用したシステムアクセスの制御について、その方法を説明します。

<p>Elastic Cloud Enterprise（ECE）2.3のリリースに伴い、ロールベースのアクセス制御と外部ソースによる認証が一般利用できるようになりました。これらの機能により、ECEプラットフォームへのユーザーアクセスをロールによって制御できるようになります。ユーザーをECEにネイティブに追加できるようになるとともに、自社のディレクトリサーバーまたはアイデンティティプロバイダーに接続して、既存のユーザーにアクセス権を付与できます。
</p><p>これらの機能のサポートは<a href="/jp/blog/elastic-cloud-enterprise-2-2-0-released" target="_blank">ECE 2.2</a>のベータ版で最初に追加されました。そして、2.3ではバグを解決するとともに、既存のLDAPおよびSAMLオプションに加えてActive Directoryのサポートが追加されています。
</p><h2>その仕組み</h2><p>ECEにRBACを追加することでセキュリティデプロイメントが追加されます。これは、認証設定およびパーミッションのすべてを管理するシステムがデプロイされることを意味します。ユーザーがログインを試行すると、ECEはこのセキュリティデプロイメントを使用して認証を行い、必要な場合はシステムユーザーにフォールバックします。ユーザーが認証されると、ECEはそのユーザーに割り当てられるロールを適用します。そして、それらのロールはきめ細かなパーミッションに変換され、各ユーザーが表示可能なデータや実行可能なアクションが制御されます。
</p><p>注意が必要なのは、ECEでのユーザーのロールは、ECEでホストされているデプロイメントに関してユーザーが保有している認証情報とは関係がないということです。つまり、ECEへのアクセス権がなくても、ホストされているデプロイメントには管理者アクセス権がある、またはその逆といったユーザーがいるということです。
</p><h2>利用可能なロール</h2><p>ECEは、プラットフォームおよびデプロイメントレベルの両方でいろいろな操作を可能にします。ロールの定義と維持に関する管理者の作業を削減するために、ECEでは、ほとんどの一般的なユースケースを網羅する事前定義されたロールが提供されます。これらのロールは、今後提供される機能の増加に合わせて継続的に更新されるため、独自の定義を最新に保つことを心配する必要はありません。
</p><p>下記に各ロールを説明します。ユーザーは2つ以上のロールを保持することができ、必要に応じてそれらを組み合わせることができます。たとえば、「プラットフォーム管理者（Platform admin）」は何でもできるため、他のロールを付与する必要はありません。ただし、「プラットフォーム閲覧者（Platform viewer）」は何でも閲覧することはできますが、何も変更することはできないため、「デプロイメント管理者（Deployment manager）」と組み合わせると有効な場合があります。
</p><h3>プラットフォーム管理者（Platform admin）</h3><p>このロールのユーザーは、インストールプロセスで作成されたシステムレベルの<code>admin</code>ユーザー（またはECE 1.xでの<code>root</code>ユーザー）と同様に、ECEですべてのデータを閲覧し、任意のオペレーションを実行できます。このロールは通常、ECEプラットフォーム全体の責任を担う管理者のみが保持します。UIの「Platform」セクションが良い例です。そこでは、アロケーターとデプロイメントなどの情報や、アロケーターを無効にする機能、メンテナンスモードにする機能などが提供されます。
</p><h3>プラットフォーム閲覧者（Platform viewer）</h3><p>このロールでは、プラットフォーム全体およびホストされたデプロイメントに関して閲覧のみのパーミッションが提供されます。関連付けられているパーミッションは、<code>readonly</code>のシステムレベルユーザーと同様です。これは自動化、たとえばECEのステータスの監視などに便利です。
</p><h3>デプロイメント管理者（Deployments manager）</h3><p>このロールでは、プラットフォーム上でデプロイメントの作成および管理ができます。このロールを持つユーザーは、スケールアップ、スケールダウン、スナップショットの設定、ノードの再起動、パスワードのリセットなど、デプロイメント上ですべてのアクションを実行できます。プラットフォームレベルの操作や、デプロイメントテンプレート、インスタンス設定、アロケーターなどのリソースへのアクセス権はありません。
</p><p>このロールは、プラットフォームレベルの情報（デプロイメントチームの責任者など）を見る必要がない、デプロイメント管理の責任者に最適なロールです。
</p><h3>デプロイメント閲覧者（Deployments viewer）</h3><p>このロールを持つユーザーは、デプロイメントを閲覧することはできますが、変更することはできません。このロールは、サポートスタッフまたはデプロイメントチームのメンバーに最適です。
</p><h2>ネイティブユーザーの管理
</h2><p>ECEでRBACの使用を開始する最も簡単な方法は、ネイティブユーザーを作成することです。これらは、Elasticsearchのネイティブレルムのセキュリティデプロイメントに保持され、ユーザー名、フルネーム、メール、パスワード、ロール、現在有効化されているかどうかといった、限られた属性のみがサポートされます。
</p><p>ナビゲーションメニューで［Users］をクリックすると、認証プロバイダー（Authentication providers）を見ることができます。［Users］の下にはネイティブユーザー（Native users）プロファイルもあり、そのプロファイルを開くと全ネイティブユーザーのリストが表示されます。そのリストには、ECEのインストーラーによって作成された2人のシステムユーザーが含まれています。これらのユーザーを編集および削除することはできず、ここでそれらのパスワードをリセットすることもできません。パスワードのリセット方法の詳細については、<a href="/guide/en/cloud-enterprise/current/ece-manage-system-passwords.html">ドキュメント</a>を参照してください。
</p><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt6263f031f9bbb57d/5d39c1b65cb66453b127ab26/rbac-ece-2-3-native-users-demo-blog.gif" data-sys-asset-uid="blt6263f031f9bbb57d" alt="ネイティブユーザー作成のデモ" style="display: block; margin: auto;">
</p><p>［Native users］ページで、ネイティブユーザーを作成、編集、削除できます。これらのユーザーは、システムユーザーと同様にECEにログインでき、そのアクセスは各ユーザーに割り当てられたロールによって制御されます。
</p><h2>ユーザー設定ページ
</h2><p>ECE 2.3にはユーザー設定ページも追加されています。ページの右上隅にあるユーザーアイコンをクリックし、［Settings］をクリックします。ネイティブユーザーとしてログインしている場合は、名前とメールを編集でき、パスワードを変更できます。外部認証プロバイダーからログインしている場合は、名前、認証プロファイルのタイプ、自分のロールなど、基本的な情報を表示する読み取り専用ページを見ることができます。
</p><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt29033bf68c6711b2/5d39c1f1c3a6d753ac37c0b5/rbac-ece-2-3-user-settings-blog.gif" data-sys-asset-uid="blt29033bf68c6711b2" alt="ユーザー設定の編集のデモ" style="display: block; margin: auto;">
</p><h2>外部認証プロバイダー
</h2><p>LDAP、Active Directory、またはSAMLサーバーをすでにお持ちの場合、認証および許可にそれらを使用するようECEを設定できます。また、複数のサーバーを構成して、<a href="/guide/en/elastic-stack-overview/7.2/realm-chains.html" target="_blank">Elasticsearchの設定と同様</a>の順番で認証を実行することも可能です。既存の認証ソースを使用する場合は、ユーザーを1つの場所で管理するだけになります。外部プロバイダーのロールマッピング設定では、ユーザーの属性をECEのロールにマッピングできるため、ユーザーの属性（グループメンバーシップなど）に対する変更は、ECEによって自動的に取得されます。
</p><p>認証プロバイダーの概要ページで［Add provider］をクリックし、タイプを選択します。次のページでプロバイダーを設定します。基本的なLDAP設定の構成オプションを見てみましょう。
</p><h2></h2><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltb2810d6c8646f88f/5d39c2291f2f0457e07e3c9a/rbac-ece-2-3-create-ldap-provider-blog.gif" data-sys-asset-uid="bltb2810d6c8646f88f" alt="LDAPプロバイダー作成のデモ" style="display: block; margin: auto;">
</p><h3>LDAP認証プロバイダー
</h3><p>［General LDAP settings］：
</p><ol>
	<li>どのプロファイルにも名前があります。名前はプロファイルのラベルとしてだけではなく、レルムIDを生成するためにも使用されます。注意が必要なのは、一旦プロファイルを作成するとレルムIDは変更できないことです。</li>
	<li>最初に<code>ldap:</code>または<code>ldaps:</code>と入力してから、1つ以上のLDAPサーバーを設定する必要があります。DNSベースのロードバランス戦略を選択する場合は、1つのサーバーのみを指定します。</li>
	<li>上記の制限を考慮しながら、ロードバランス戦略を選択します。</li>
</ol><p>［Trusted CA certificates］：
</p><ol start="4">
	<li>LDAPサーバーを保護するために、クライアントに特定のSSL/TLS証明書の保持を要求する場合は、バンドルファイルを用意し、URL経由によってECEで利用できるようにする必要があります。詳細に関しては、<a href="/guide/en/cloud-enterprise/current/ece-create-ldap-profiles.html#ece-prepare-ldap-certificates" target="_blank">ドキュメント</a>を参照してください。</li>
	<li>バンドルをパスワード保護する場合は、ここでパスワードを提示します。</li>
</ol><p>［Bind credentials］：
</p><ol start="6">
	<li>認証情報をLDAPサーバーにバインドする必要がある場合は、ここで設定できます。</li>
	<li>または、認証情報を必要としない場合は［Bind anonymously］を有効にします。</li>
</ol><p>［Search mode settings］：
</p><ol start="8">
	<li>ユーザー検索の各詳細を指定できます。これらのフィールドについては、<a href="/guide/en/cloud-enterprise/current/ece-create-ldap-profiles.html#ece-ldap-search-mode" target="_blank">ドキュメント</a>を参照してください。少なくとも［Base DN for users］に、たとえば「cn=users,dc=example,dc=com」と設定します。</li>
	<li>または、LDAPクエリーの実行にテンプレートを使用する必要がある場合は、［Template］ラジオボタンをクリックして1つ以上のテンプレートを提供します。</li>
</ol><p>［Group search settings］：
</p><ol start="10">
	<li>検索モードの設定と同様、ユーザーのグループについてECEの検索方法を設定できます。［Base DN for users］に、たとえば「ou=groups,dc=example,dc=com」と設定します。</li>
</ol><p>［Role mappings］：
</p><ol start="11">
	<li>ユーザーがECEで何かを実行するには、1つ以上のロールが必要です。認証されたすべてのユーザーに割り当てられるデフォルトのロールを指定することができます。たとえば、すべてのユーザーに「デプロイメント閲覧者（Deployment viewer）」ロールを割り当てることで、全ユーザーがECEでホストされているすべてのデプロイメントを見られるようにすることができます（編集はできません）。</li>
	<li>また、ロールマッピングを使用してロールを割り当てる方法もあります。これは、ユーザーDNまたはグループDNが何らかの値に一致した場合に特定のロールが割り当てられるというルールを使用します。マッピングは必要な数だけ保持できます。たとえば、ITオペレーションのユーザーに「デプロイメント閲覧者（Deployment viewer）」を割り当てるマッピング、すべての開発者に「デプロイメント管理者（Deployment manager）」を割り当てるマッピング、およびすべての管理者に「プラットフォーム閲覧者（Platform viewer）」を割り当てるマッピングを使用できます。</li>
</ol><p>完了したら［<strong>Create profile</strong>］をクリックします。すると、ECEによってセキュリティデプロイメントが再構成されます。ここで、さまざまなLDAPユーザーでログインし、認証されること、およびそれらユーザーのロールが正しいことをチェックします。ユーザー設定ページで明示的に確認することも、またはUIを操作して、表示できるものや操作できるものが想定どおりかを確認することもできます。
</p><h3>Active DirectoryおよびSAML認証プロバイダー
</h3><p>このプロセスの概要は、ECEの観点からはLDAPと同様です。SAMLまたはActive Directory認証プロバイダーを作成して名前を付け、ECEとサーバーの通信方法を指定し、適用するマッピングを定義します。
</p><p><a href="/guide/en/cloud-enterprise/current/ece-create-saml-profiles.html" target="_blank">SAML認証プロバイダー</a>または<a href="/guide/en/cloud-enterprise/current/ece-create-ad-profiles.html" target="_blank">Active Directory認証プロバイダー</a>の構成の詳細については、ドキュメントを参照してください。
</p><h3>REST APIのサポート
</h3><p>上記のすべてのオペレーションは、<a href="/guide/en/cloud-enterprise/current/ece-restful-api.html" target="_blank">REST API</a>を使用して実行することもできます。たとえば、現在無効化されているユーザーを含む、全ユーザーのリストを取得できます。
</p><pre class="prettyprint">GET /api/v1/users?include_disabled=true
</pre><p>例として、新しいシステム管理者のサラにアクセス権を付与する必要があるとします。下記のようにして、サラのために新しいネイティブユーザーを作成できます。
</p><pre class="prettyprint">POST /api/v1/users
{
  "user_name": "sarah",
  "security": {
    "roles": ["ece_platform_admin"],
    "password": "deadb33f"
  }
}
</pre><p>その後、サラのアクセスを変更する場合は、変更するフィールドのみを明示して（ここではロール）、PATCHリクエストを送信します。
</p><pre class="prettyprint">PATCH /api/v1/users/sarah
{
  "security": {
    "roles": ["ece_platform_viewer"]
  }
}
</pre><p>サラのアカウントを削除する場合は、DELETEリクエストを送信します。
</p><pre class="prettyprint">DELETE /api/v1/users/sarah
</pre><p>詳細および認証プロバイダーエンドポイントについては、<a href="/guide/en/cloud-enterprise/current/Platform_-_Configuration_-_Security_Realms.html" target="_blank">REST APIドキュメント</a>を参照してください。
</p><h3 style="background-color: rgb(255, 255, 255);">今すぐ使い始めましょう</h3><p style="background-color: rgb(255, 255, 255);">ECE 2.3での変更の一覧については、<a href="/guide/en/cloud-enterprise/2.3/index.html" target="_blank">リリースノート</a>を確認してください。また、試用する場合は<a href="/jp/downloads/enterprise" target="_blank">30日間の無料トライアル</a>を今すぐ開始することができます。
</p>

pile-of-old-keys-full-bleed.jpg

pile-of-old-keys-thumbnail.jpg

Role-based access control and external authentication is GA in ECE 2.3

ECE 2.3でロールベースのアクセス制御と外部認証の一般提供を開始

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Rory Hunter

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Communication Preferences - ONLY for /communication-preferences

<p>送信することにより、Elasticの<a href="/jp/legal/elastic-cloud-account-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、上記で提供された連絡先に<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">特定の通知</a>が送信されることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシーポリシー</a>をご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。</p>

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p><p>By submitting this form, I agree to Elastic sharing my contact information with Google Cloud. I also agree to Elastic giving my information to the vendor for the purpose of shipping my food package.</p>

GDPR Text + Google Cloud

<p>送信することにより、Elasticの<a href="/jp/legal/elastic-cloud-account-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。</p><p>このフォームを送信することにより、Elasticが私の連絡先情報をGoogle Cloudに共有することに同意します。また、Elasticが私に食材パッケージを発送する目的で私の情報をベンダーに提供することにも同意します。</p>

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Serverless GDPR Text

<p>送信することにより、Elasticの<a href="/jp/legal/serverless-preview-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。</p>

<p>By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.</p>

Cloud Trial GDPR Text

<p>送信することにより、<a href="/jp/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud利用規約</a>に同意したものとみなされます。個人情報は<a href="/jp/legal/privacy-statement">Elasticのプライバシーポリシー</a>に基づいて取り扱われます。</p>

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Newsletter GDPR Text

<p>送信することにより、Elasticの<a href="/jp/legal/terms-of-use" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。</p>

Explore similar demos

Overview

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

このページのコンテンツは、選択された言語ではご利用いただけません。Elasticでは現在、コンテンツをさまざまな言語でご利用いただけるよう取り組んでいます。お使いの言語が準備されるまでお待ちくださるようお願いいたします。

Author

Articles by

Watch now (no PT)

Watch now

See all top stories

すべてのトップストーリーを見る

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Load More

Share on LinkedIn

Search Integrations

All Solutions

Video for

See when this webinar starts in my time zone

現在のタイムゾーンでこのウェビナー開始時間を見る

Register to Watch

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

他の予定と重なってしまった…という場合も、問題ありません。参加登録されると、録画配信をご利用いただけます。関連コンテンツのご案内もメールでお届けします。

Author

Articles by Rory Hunter

ECE 2.3でロールベースのアクセス制御と外部認証の一般提供を開始

Sign up for Elastic Cloud free trial