Saiba como funcionam a autorização e a autenticação no Elasticsearch, quem tem acesso e quais dados essas pessoas podem (e não podem) ver.

Trabalho na Elastic há mais de quatro anos, sendo três anos e meio em suporte e consultoria e o último semestre em vendas. Independentemente do departamento onde eu esteja, as perguntas mais comuns que recebo dos usuários são sobre a segurança do Elasticsearch. Que tipo de autenticação é compatível com o Elasticsearch? Como faço para configurá-lo? Como posso garantir que os usuários não vejam dados que não devem ver? Meu objetivo neste blog é responder a essas perguntas, bem como fornecer algumas orientações para resolver alguns problemas comuns na configuração da segurança.
Primeiro, um pouco de história. Se você usa o Elasticsearch há algum tempo, sabe que houve um tempo em que a segurança era fornecida por um plugin chamado <a href="/pt/blog/you-know-for-security-shield-goes-ga">Shield</a>, oferecido por meio do X-Pack. Atualmente, essa funcionalidade de segurança foi movida para o Elastic Stack (<a href="/pt/what-is/open-x-pack">junto com o restante do X-Pack</a>), com os recursos mais usados disponíveis <a href="/pt/blog/security-for-elasticsearch-is-now-free">gratuitamente com a distribuição padrão</a>. A segurança inclui <a href="/guide/en/elasticsearch/reference/7.4/encrypting-communications.html">comunicação criptografada</a> (TLS/SSL), <a href="/guide/en/elasticsearch/reference/7.4/setting-up-authentication.html">autenticação</a> (nativa, LDAP, SSO etc.), <a href="/guide/en/elasticsearch/reference/7.4/authorization.html">autorização</a> (RBAC, ABAC etc.), <a href="/guide/en/elasticsearch/reference/7.4/ip-filtering.html">filtragem de IP</a>, <a href="/guide/en/elasticsearch/reference/7.4/auditing.html">logging de auditoria</a> e <a href="/guide/en/elasticsearch/reference/7.4/elasticsearch-security.html">muito mais</a>. Neste blog, vamos nos concentrar na autenticação e na autorização.
<h2>Autenticação no Elasticsearch</h2>Basicamente, se um usuário ou API quer acessar o Elasticsearch, ele(a) precisa passar por uma autenticação.
O Elasticsearch dá suporte a vários métodos de segurança nativamente, como:
<ul>
	<li>Autenticação de usuário <a href="/guide/en/elasticsearch/reference/7.4/native-realm.html">nativa</a></li>
	<li>Autenticação de usuário com <a href="/guide/en/elasticsearch/reference/7.4/active-directory-realm.html">Active Directory</a></li>
	<li>Autenticação de usuário <a href="/guide/en/elasticsearch/reference/7.4/file-realm.html">baseada em arquivo</a></li>
	<li>Autenticação de usuário <a href="/guide/en/elasticsearch/reference/7.4/ldap-realm.html">LDAP</a></li>
	<li>Autenticação de usuário <a href="/guide/en/elasticsearch/reference/7.4/pki-realm.html">PKI</a></li>
	<li>Autenticação <a href="/guide/en/elasticsearch/reference/7.4/saml-realm.html">SAML</a></li>
	<li>Autenticação <a href="/guide/en/elasticsearch/reference/7.4/kerberos-realm.html">Kerberos</a></li>
</ul>Você pode até criar sua <a href="/guide/en/elasticsearch/reference/7.4/custom-realms.html">própria integração</a> se nenhuma dessas opções se aplica a você. No entanto, geralmente recomendamos que você use uma das integrações existentes, pois elas são validadas e continuamos trabalhando no desenvolvimento delas para garantir o suporte adequado.
O componente mais básico de segurança no Elasticsearch é um <a href="/guide/en/elasticsearch/reference/7.4/realms.html#realms">reino, que é o que resolve e autentica os usuários</a>. Cada um dos métodos de autenticação listados acima seria considerado um reino. E, para funcionar, o Elasticsearch trabalha com uma <a href="/guide/en/elasticsearch/reference/7.4/realm-chains.html">cadeia de reinos</a>. Uma cadeia de reinos é uma lista priorizada de reinos configurados (de um a N reinos) em ordem crescente de preferência. Quando um usuário tentar acessar o Elasticsearch, a solicitação percorrerá a lista sequencialmente até que a autenticação seja bem-sucedida ou que se esgotem os reinos.
Essencialmente, o processo tentará o primeiro reino configurado na lista e, se falhar, irá para o próximo até ter sucesso com um dos itens de reino ou executar exaustivamente a lista inteira. A primeira etapa para acessar o Elasticsearch é chamada de autenticação.
Depois que um usuário for autenticado, o Elasticsearch tentará atribuir uma ou mais funções a ele. As funções podem ser atribuídas aos usuários de maneira estática ou dinâmica durante a autenticação, com base em algumas das propriedades do usuário. Dependendo do tipo de reino que autenticou o usuário, a propriedade do usuário usada para atribuir uma função poderá ser a associação ao grupo que o usuário tiver em um sistema externo, o sufixo de seu nome de usuário no Elasticsearch e outras. Além disso, o Elasticsearch também apresenta a <a href="/guide/en/elasticsearch/reference/7.4/run-as-privilege.html">funcionalidade run as</a>, que permite aos usuários enviar solicitações em nome de outros usuários sem exigir nova autenticação.
Com a fase de autenticação concluída, a próxima etapa é a autorização. Confira todo o fluxo de trabalho neste gráfico:
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt9b2001d36fce9b26/5d9c78fb230e52144ca9e36a/realm_chain.png" data-sys-asset-uid="blt9b2001d36fce9b26" alt="Encadeamento de reinos no Elasticsearch" width="460" "="">
<h2>Autorização no Elasticsearch</h2>Quando a autenticação for bem-sucedida, o usuário passará para o segundo ponto de verificação de segurança: <a href="/guide/en/elasticsearch/reference/current/authorization.html">autorização</a>. A autorização é o processo para determinar se o usuário tem permissão para executar uma solicitação, e isso é feito por meio do <a href="/guide/en/elasticsearch/reference/7.4/mapping-roles.html">mapeamento dos usuários</a> para <a href="/guide/en/elasticsearch/reference/7.4/defining-roles.html">funções predefinidas e/ou definidas pelo usuário</a>. Existem funções que vêm por padrão com o Elasticsearch, mas você também pode criar funções específicas para o seu caso de uso.
Uma função é composta por:
<ul>
	<li>Uma lista de usuários que têm acesso</li>
	<li>Privilégios de cluster</li>
	<li>Privilégios globais</li>
	<li>Privilégios de índices</li>
	<li>Privilégios de aplicação</li>
</ul>Nesta segunda fase, o Elasticsearch usará um dos seguintes:<ul>
<li>A <a href="/guide/en/elasticsearch/reference/7.3/security-api-put-role-mapping.html">API role_mapping</a>, que é o método preferido porque você pode gerenciar o mapeamento de cada função de maneira centralizada e orientada pela API. Essa é a única maneira de configurar mapeamentos de função no <a href="/pt/elasticsearch/service">Elasticsearch Service</a> no Elastic Cloud.</li>
<li>O arquivo de mapeamento de função (role_mapping.yml) que existe em cada nó dentro da <a href="/guide/en/elasticsearch/reference/7.4/settings.html">pasta de configuração</a></li>
</ul>A API <code>role_mapping</code> precisa ser invocada por um usuário com direitos apropriados para gerenciar funções. A função <code>superuser</code> que o usuário da <code>Elastic</code> tem é um exemplo disso; no entanto, você também pode criar uma função específica para isso.
Reinos e funções são completamente diferentes por definição. Reinos e cadeias de reinos são o que usamos para nos autenticarmos e, após a fase de autenticação, acabamos usando funções para mapear para os usuários. Enquanto um usuário será apenas autenticado usando um único reino da cadeia de reinos, na segunda fase, o usuário poderá ser mapeado de uma para várias funções. Isso também é conhecido como controle de acesso por função.
<h2>Etapas para solução de problemas de autenticação e autorização</h2>Agora que vimos aspectos básicos da autenticação e da autorização, vamos dar uma olhada em algumas das etapas de solução de problemas que você poderá executar.
<h3>401 Unauthorized</h3>Se não conseguir se autenticar usando qualquer um dos reinos, você receberá uma resposta com o código de status <code>401 Unauthorized</code>. A maneira mais fácil de testar suas credenciais com a lista de reinos configurados é usar <code>cURL</code> com um sinalizador que permita inspeção (por exemplo,<code>-v</code>). Você poderá obter uma resposta como a seguinte:
<pre class="prettyprint">curl https://xxxxxx:9200 -u test:test -v 
&gt; User-Agent: curl/7.54.0 
&gt; Accept: */* 
&gt; 
&lt; HTTP/1.1 401 Unauthorized 
&lt; Content-Type: application/json; charset=UTF-8 
&lt; Date: Tue, 10 Sep 2019 15:59:33 GMT 
&lt; Www-Authenticate: Bearer realm="security" 
&lt; Www-Authenticate: ApiKey 
&lt; Www-Authenticate: Basic realm="security" charset="UTF-8" 
&lt; Content-Length: 455 
&lt; Connection: keep-alive 
&lt; 
* Connection #0 to host 06618318cff64c829af1cd5a2beb91a5.us-east-1.aws.found.io left intact 
{"error":{"root_cause":[{"type":"security_exception","reason":"unable to authenticate user [test] for REST request [/]","header":{"WWW-Authenticate":["Bearer realm=\"security\"","ApiKey","Basic realm=\"security\" charset=\"UTF-8\""]}}],"type":"security_exception","reason":"unable to authenticate user [test] for REST request [/]","header":{"WWW-Authenticate":["Bearer realm=\"security\"","ApiKey","Basic realm=\"security\" charset=\"UTF-8\""]}},"status":401}%
</pre>Essa mensagem de erro pode ajudar você a chegar à causa raiz do problema. Por exemplo, existem reinos específicos, como o <a href="/guide/en/elasticsearch/reference/7.4/configuring-saml-realm.html">SAML</a>, que exigem que o Kibana ou uma aplicação Web personalizada faça a interação com o Elasticsearch e o provedor de identidade.
<h3>Habilitar o logging de erros</h3>Depois de configurar os reinos, a cadeia de reinos, as funções e o mapeamento de funções, se você ainda tiver problemas, poderá configurar facilmente mais algum logging para obter mais informações sobre o processo de autenticação e autorização que abordamos anteriormente.
Usando a <a href="/guide/en/elasticsearch/reference/current/logging.html#configuring-logging-levels">configuração de logging</a> na API <code>settings</code> do cluster, é possível definir qualquer nível de logging para qualquer reino.
Vamos dar uma olhada em um exemplo com o <a href="/guide/en/elasticsearch/reference/7.4/configuring-ldap-realm.html">reino LDAP</a>. Se a autenticação ou autorização do usuário estiver falhando, você poderá configurar o seguinte nível de logging para obter mais informações:
<pre class="prettyprint">PUT /_cluster/settings 
{ 
 "transient": { 
 "logger.org.elasticsearch.xpack.security.authc.ldap":"DEBUG", 
 "logger.org.elasticsearch.xpack.security.authz":"DEBUG" 
 } 
}
</pre>Isso aumentará de padrão para DEBUG o nível de logging do pacote LDAP. Também é possível habilitar o logging TRACE para obter ainda mais informações, como todas as chamadas LDAP feitas ao servidor e a resposta delas. Você pode encontrar o nome do pacote para habilitar em cada REALM específico usando nosso <a href="https://github.com/elastic/elasticsearch/blob/master/x-pack/plugin/security/src/main/java/org/elasticsearch/xpack/security/authc">repositório do GitHub</a>. Por exemplo, este é o <a href="https://github.com/elastic/elasticsearch/blob/master/x-pack/plugin/security/src/main/java/org/elasticsearch/xpack/security/authc/ldap/LdapRealm.java">código para o reino LDAP</a>. Usando a primeira linha de código, você pode ver o pacote a ser usado para o nível de logging:
<pre class="prettyprint">package org.elasticsearch.xpack.security.authc.ldap;
</pre>Quando isso estiver habilitado, você obterá muitas linhas de log, como o exemplo a seguir:
<pre class="prettyprint">[2019-09-12T08:41:20,628][DEBUG][o.e.x.s.a.l.LdapRealm ] [xxxxxxx] user not found in cache, proceeding with normal authentication
[2019-09-12T08:41:21,180][TRACE][o.e.x.s.a.l.s.LdapUtils ] LDAP Search SearchRequest(baseDN='dc=xxx,dc=xxxx,dc=domain,dc=com', scope=SUB, deref=NEVER, sizeLimit=0, timeLimit=5, filter='(cn=vchatzig)', attrs={1.1}) =&gt; SearchResult(resultCode=0 (success), messageID=2, entriesReturned=1, referencesReturned=0) ([SearchResultEntry(dn='cn=xxxxxxx,ou=xxxxx,dc=intc,dc=xxxx,dc=domain,dc=com', messageID=2, attributes={}, controls={})])
</pre>Aqui podemos ver o reino LDAP tentando obter o usuário do cache (que pode estar desatualizado) e, em seguida, fazendo a solicitação <code>LDAP Search</code> ao servidor usando as configurações específicas que fornecemos. Esse é apenas um exemplo das muitas linhas de log que você receberá.
<table style="background: #FFFFD2;">
<tbody>
<tr>
	<td>
		Observação: habilitar o logging é ótimo para diagnósticos, mas não para desempenho. Recomendamos voltar o nível de logging ao valor padrão assim que você souber que tudo está funcionando. Para isso, use o seguinte:
		
		<pre class="prettyprint">PUT /_cluster/settings 
{ 
 "transient": { 
 "logger.org.elasticsearch.xpack.security.authc.ldap": null, 
 "logger.org.elasticsearch.xpack.security.authz": null 
 } 
}
 </pre>
	</td>
</tr>
</tbody>
</table>Observe que alguns desses pacotes podem mudar de uma versão para outra; portanto, recomendamos verificar novamente os links de documentação da versão específica do Elasticsearch que você estiver usando, juntamente com os links das aulas do GitHub para essa versão específica.
<h3>Problemas comuns do SAML</h3>O reino SAML requer um provedor de identidade (como Okta ou Auth0) e uma aplicação Web (Kibana é o padrão) que, junto com o Elasticsearch, atue como provedor de serviços. Alguns dos problemas que costumamos ver:
<ul>
	<li>Configuração da URL do serviço consumidor de afirmação incorreta na configuração do provedor de identidade (IdP). O endpoint que você geralmente precisa configurar no provedor de identidade é https://kibana.xxxx.com/api/security/v1/saml</li>
	<li>Os metadados do provedor de identidade não são acessíveis pela Internet. O valor da configuração idp.metadata.path no Elasticsearch no local ou no Elastic Cloud deve ser acessível pela rede na qual o Elasticsearch/Kibana estão sendo executados. Se não for esse o caso, você precisará baixar os metadados de um host que possa acessá-los ou solicitar ao administrador do IdP os metadados, adicioná-los como um arquivo local no Elasticsearch e referenciá-los. O erro mostrado será semelhante a este:
	<pre class="prettyprint">Caused by: net.shibboleth.utilities.java.support.resolver.ResolverException: net.shibboleth.utilities.java.support.resolver.ResolverException: Non-ok status code 404 returned from remote metadata source https://xxxx.xxxx/xxx/yyyyyyyy/sso/saml/metadata
 </pre></li>
	<li>Você pode se autenticar, mas o usuário não consegue abrir o Kibana. Para isso, geralmente recomendamos verificar novamente os mapeamentos de função para os usuários, a fim de verificar se pelo menos uma de suas funções tem <a href="/guide/en/kibana/7.4/xpack-security-authorization.html">acesso ao Kibana</a>.</li>
</ul>A configuração do provedor de identidade é tão importante quanto a configuração do Elasticsearch/Kibana, e devemos sempre verificar se há erros de digitação e incompatibilidade entre as configurações esperadas e as definidas. Embora cada IdP específico tenha suas próprias configurações, recomendamos ler com atenção a <a href="/guide/en/elasticsearch/reference/7.3/saml-guide-idp.html">documentação</a> para saber cada configuração específica necessária.
Para obter mais informações sobre problemas comuns e etapas de solução de problemas relacionados ao SAML, acesse a nossa <a href="/guide/en/elasticsearch/reference/current/trb-security-saml.html">documentação de solução de problemas</a>, que é mantida a cada versão lançada.
<h2>Resumo</h2>A autenticação no Elasticsearch é muito fácil de configurar uma vez compreendidos todos os conceitos por trás dela. Além disso, às vezes pode ser difícil entender o que está funcionando, o que não está e por que, mas neste post, abordamos muitas opções para obter uma visão mais detalhada. Você pode usar nossa documentação para <a href="/pt/blog/getting-started-with-elasticsearch-security">começar a trabalhar com a segurança no Elasticsearch</a> ou usar o nosso <a href="/guide/en/elasticsearch/reference/current/security-troubleshooting.html">guia de solução de problemas</a> de segurança na nossa documentação. Não deixe de ver nosso gerente sênior de produto do Elastic Security explicar <a href="https://www.youtube.com/watch?v=nMh1HWWe6B4&feature=youtu.be">como começar</a> de forma detalhada.
Também recomendamos que você confira novamente a nossa <a href="/pt/subscriptions">página de assinaturas</a> para saber mais sobre os recursos incluídos em cada nível. Por fim, se tiver alguma dúvida específica, entre em contato com o seu representante de suporte ou use os nossos <a href="https://discuss.elastic.co">fóruns de discussão</a>.
Trabalhe com segurança!

auth-blog-banner.jpg

auth-blog-thumb.jpg

Demystifying authentication and authorization in Elasticsearch

Autenticação e autorização no Elasticsearch desmistificadas

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Solutions Architect

Gabriel Moskovicz

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

O conteúdo desta página não está disponível no idioma selecionado. A Elastic está trabalhando para garantir que o conteúdo esteja disponível em vários idiomas. Agradecemos a compreensão.

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/elastic-cloud-account-terms" target="_self">Termos de Serviço</a> e também concorda em receber <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">comunicações especiais</a> por meio dos dados de contato que forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/serverless-preview-terms" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

Ao enviar, você concorda com os <a href="/pt/agreements/global/cloud-services-monthly" rel="nofollow">Termos de Serviço do Elastic Cloud</a>. Seus dados pessoais serão tratados de acordo com a <a href="/pt/legal/privacy-statement">Declaração de Privacidade da Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/terms-of-use" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

Explore similar demos

Explore outras demonstrações semelhantes

Overview

Load More

Speakers

Close

See more insights

Author

Articles by

Learn more

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

Consultar a hora de início do webinar no meu fuso horário

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

Não vai conseguir participar? Inscreva-se e nós lhe enviaremos a gravação. Você também receberá um email com conteúdo relacionado.

Author

Articles by Gabriel Moskovicz

Solutions Architect, Elastic

Autenticação e autorização no Elasticsearch desmistificadas