Suporte a RBAC do ECE entra em disponibilidade geral na versão 2.3. Saiba como configurar vários usuários, conectar-se ao LDAP, ao SAML e ao Active Directory e

<p>Estamos empolgados em anunciar que, com o lançamento do Elastic Cloud Enterprise (ECE) 2.3, o controle de acesso baseado em funções e a autenticação com fontes externas agora já estão disponíveis.
 Esses recursos permitem ter vários usuários cujo acesso à plataforma ECE é controlado por função. Você pode adicionar usuários nativamente no ECE e conectar seus próprios servidores de diretório ou provedores de identidade para oferecer acesso aos usuários existentes.
</p><p>Inicialmente adicionamos suporte beta para esses recursos na versão <a href="/pt/blog/elastic-cloud-enterprise-2-2-0-released" target="_blank">ECE 2.2</a>. Além de resolver as falhas com a versão 2.3, adicionamos suporte para o Active Directory além das opções LDAP e SAML existentes.
</p><h2>Como funciona?</h2><p>Habilitar o RBAC para o ECE adiciona uma implantação de segurança, que é uma implantação de sistema que gerencia toda a configuração e as permissões de autenticação. Quando um usuário tenta fazer login, o ECE verifica a autenticação usando a implantação de segurança, recorrendo aos usuários do sistema se necessário. Se o usuário fizer uma autenticação bem-sucedida, o ECE aplicará todas as suas funções atribuídas e as converterá em permissões de granularidade fina que controlam quais dados cada usuário pode ver e quais ações ele pode executar.
</p><p>Observe que as funções de ECE de um usuário são separadas de quaisquer credenciais que o usuário mantenha para as implantações hospedadas no ECE. Um usuário poderia não ter nenhum acesso ao ECE, mas ter acesso administrativo às implantações hospedadas, e vice-versa.
</p><h2>Quais funções estão disponíveis?</h2><p>O ECE oferece um conjunto rico de operações, tanto no nível da plataforma quanto no nível da implantação. Para poupar os administradores do esforço de definir e manter suas próprias definições de função, o ECE fornece um conjunto de funções predefinidas que tratam dos casos de uso mais comuns. Essas funções serão mantidas atualizadas à medida que mais recursos forem fornecidos, por isso não é necessário se preocupar em manter suas próprias definições atualizadas.
</p><p>As funções estão descritas a seguir. Os usuários podem manter mais de uma função e combiná-las conforme necessário — por exemplo, um “Platform admin” (Administrador de plataforma) pode fazer qualquer tarefa, por isso não é preciso lhe atribuir outra função. Entretanto, um “Platform viewer” (Visualizador de plataforma) pode ver tudo, mas não pode alterar tudo, por isso convém combinar essa função com a função de “Deployments manager” (Gerente de implantações).
</p><h3>Platform admin</h3><p>Essa função permite que um usuário veja todos os dados e execute qualquer operação no ECE da mesma maneira que o usuário <code>admin</code> de nível de sistema (ou  <code>root</code> no ECE 1.x) que é criado durante o processo de instalação. Essa função geralmente só seria mantida pelos administradores que são responsáveis por toda a plataforma do ECE. A seção “Platform” (Plataforma) na IU é um bom exemplo porque fornece informações sobre, por exemplo, alocadores e suas implantações, e a capacidade de liberar um alocador ou colocá-lo em modo de manutenção.
</p><h3>Platform viewer</h3><p>Essa função oferece permissão somente de visualização para toda a plataforma e as implantações hospedadas.
 As permissões associadas são as mesmas daquelas mantidas pelo usuário de nível de sistema <code>readonly</code>. Ela é útil para fins de automatização, por exemplo, monitorar o status do ECE.
</p><h3>Deployments manager</h3><p>Essa função permite que um usuário crie e gerencie implantações na plataforma.
 Um usuário com essa função pode executar todas as ações em uma implantação — escalonamento ascendente, escalonamento descendente, configuração de instantâneos, reinicialização de nós, redefinição de senhas e muito mais. Essa função não permite que um usuário acesse nenhuma operação e recurso de nível de plataforma como modelos de implantação, configurações de instância, alocadores, implantações de sistema etc.
</p><p>É uma função adequada para qualquer um com responsabilidade de gerenciar implantações, mas sem incumbência de ver informações de nível de plataforma, como líderes de equipes de desenvolvimento.
</p><h3>Deployments viewer</h3><p>Um usuário com essa função pode visualizar implantações, mas não pode modificá-las de maneira alguma.
 Essa função é adequada para membros de equipes de suporte ou de desenvolvimento.
</p><h2>Gerenciamento de usuários nativos
</h2><p>A maneira mais simples de começar com o RBAC no ECE é criar usuários nativos. Eles são mantidos na implantação de segurança, no reino nativo do Elasticsearch.
 Eles oferecem suporte a um número limitado de atributos: nome de usuário, nome completo, e-mail, senha, funções e se estão habilitados no momento.
</p><p>Clique em "Users" (Usuários) no menu de navegação para visualizar seus provedores de autenticação, sendo que um deles é o perfil "Native users" (Usuários nativos). Ao abrir o perfil, você acessará uma lista de todos os usuários nativos. A lista inclui os dois usuários de sistema que são criados pelo instalador do ECE. Esses usuários não podem ser editados ou excluídos, e você não pode redefinir suas senhas aqui — consulte a <a href="/guide/en/cloud-enterprise/current/ece-manage-system-passwords.html">documentação</a> para obter mais instruções sobre como redefinir senhas.
</p><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt6263f031f9bbb57d/5d39c1b65cb66453b127ab26/rbac-ece-2-3-native-users-demo-blog.gif" data-sys-asset-uid="blt6263f031f9bbb57d" alt="Demonstração da criação de usuários nativos" style="display: block; margin: auto;">
</p><p>Na página "Native users", você pode criar, editar e excluir usuários nativos. Esses usuários podem fazer login no ECE assim como os usuários do sistema, e seu acesso é controlado pelas funções que você atribui a eles.
</p><h2>Página de configurações do usuário
</h2><p>O ECE 2.3 também adiciona uma página de configurações do usuário. Clique no ícone de usuário na parte superior direita da página e clique em "Settings" (Configurações). Se você tiver feito login como um usuário nativo, poderá editar seu nome e e-mail ou alterar a senha.
 Se tiver feito login com um usuário de um provedor de autenticação externa, você verá uma página somente leitura com algumas informações básicas, o nome e o tipo do perfil de autenticação e as funções que você mantém.
</p><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt29033bf68c6711b2/5d39c1f1c3a6d753ac37c0b5/rbac-ece-2-3-user-settings-blog.gif" data-sys-asset-uid="blt29033bf68c6711b2" alt="Demonstração da edição das configurações do usuário" style="display: block; margin: auto;">
</p><h2>Provedores de autenticação externa
</h2><p>Se você já tiver um servidor LDAP, Active Directory ou SAML, poderá configurar o ECE para usá-los para fins de autenticação e autorização. Você pode inclusive configurar vários servidores, e a tentativa de autenticação ocorrerá na ordem que você definiu <a href="/guide/en/elastic-stack-overview/7.2/realm-chains.html" target="_blank">da mesma maneira que no Elasticsearch</a>. O uso de suas fontes de autenticação existentes significa que você só precisa gerenciar os usuários em um único local. A configuração de mapeamento de funções para um provedor externo permite mapear os atributos dos usuários a funções no ECE, por isso quaisquer alterações nos atributos dos usuários, como associação ao grupo, são escolhidas pelo ECE automaticamente.
</p><p>Na página de visão geral dos provedores de autenticação, clique em "Add provider" (Adicionar provedor) e escolha um tipo. Na página seguinte, você configurará o provedor. Vamos analisar as opções de configuração para uma instalação de LDAP básica.
</p><h2></h2><p><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltb2810d6c8646f88f/5d39c2291f2f0457e07e3c9a/rbac-ece-2-3-create-ldap-provider-blog.gif" data-sys-asset-uid="bltb2810d6c8646f88f" alt="Demonstração da criação de um provedor de LDAP" style="display: block; margin: auto;">
</p><h3>Provedor de autenticação LDAP
</h3><p>Configurações gerais:
</p><ol>
	<li>Cada perfil tem um nome. Além de usá-lo para identificar o perfil, o nome também é usado para gerar um ID de reino. Observe que, depois que um perfil é criado, o ID de reino nunca é alterado.</li>
	<li>Pelo menos um servidor LDAP deve ser definido, incluindo o protocolo <code>ldap:</code> ou <code>ldaps:</code> no início. Se você escolher uma estratégia de balanceamento de carga baseado em DNS, poderá especificar somente um único servidor.</li>
	<li>Escolha uma estratégia de balanceamento de carga, lembrando da restrição anterior.</li>
</ol><p>Certificados confiáveis:
</p><ol start="4">
	<li>Se o servidor LDAP for protegido de maneira que os clientes precisem manter certificados SSL/TLS específicos, você precisará preparar um arquivo de pacote e disponibilizá-lo ao ECE via URL. Consulte a <a href="/guide/en/cloud-enterprise/current/ece-create-ldap-profiles.html#ece-prepare-ldap-certificates" target="_blank">documentação</a> para obter mais detalhes.</li>
	<li>Se o pacote estiver protegido por senha, informe-a aqui.</li>
</ol><p>Vincular credenciais:
</p><ol start="6">
	<li>Se for obrigatório vincular as credenciais ao servidor LDAP, você poderá defini-las aqui.</li>
	<li>Como alternativa, se as credenciais não forem obrigatórias, clique no botão de alternância “Bind anonymously” (Vincular anonimamente).</li>
</ol><p>Configurações do modo de busca:
</p><ol start="8">
	<li>Você pode especificar cada detalhe para a busca de um usuário. Consulte a <a href="/guide/en/cloud-enterprise/current/ece-create-ldap-profiles.html#ece-ldap-search-mode" target="_blank">documentação</a> para obter informações sobre esses campos. Pelo menos, você vai querer definir “Base DN for users” (DN de base para usuários)  “cn=users,dc=example,dc=com”.</li>
	<li>Como alternativa, se em vez disso você precisar usar um modelo para executar consultas LDAP, clique no botão de opções “Template” (Modelo) e forneça um ou mais modelos.</li>
</ol><p>Configurações de busca&nbsp;de grupo:
</p><ol start="10">
	<li>De um jeito muito semelhante às configurações do modo de busca, você pode configurar a maneira como o ECE deve buscar&nbsp;por grupos de um usuário. Você vai querer definir “Base DN for groups” (DN de base para grupos), por exemplo “ou=groups,dc=example,dc=com”.</li>
</ol><p>Mapeamentos de função:
</p><ol start="11">
	<li>Um usuário precisa manter uma ou mais funções para executar alguma operação com o ECE. Você pode especificar funções padrão, que serão atribuídas a todos os usuários que fizerem uma autenticação bem-sucedida. Por exemplo, você poderia conceder a todos os usuários a função “Deployments viewer” (Visualizador de implantações), para que eles pudessem ver todas as implantações hospedadas no ECE, mas sem poder editar nada.</li>
	<li>O outro método de atribuir funções é através do mapeamento de funções. Segundo esse método, regras simples informam se o DN de usuário ou o DN de grupo corresponde a algum valor, então as funções  especificadas são atribuídas. Você pode ter quantos mapeamentos precisar — por exemplo, um mapeamento que atribui aos usuários de operações de TI a função “Deployment viewer”, um mapeamento que atribui a todos os desenvolvedores a função “Deployment manager” e um mapeamento que atribui a todos os administradores a função “Platform viewer”.</li>
</ol><p>Quando tiver concluído, clique em <strong>Create profile</strong> (Criar perfil), e o ECE reconfigurará a implantação de segurança. Agora você deve fazer login com uma variedade de usuários de LDAP para verificar se eles podem fazer a autenticação e se suas funções estão corretas. Pode verificar explicitamente as funções na página de configurações de usuário, e também navegar pela IU e verificar se o que eles podem ver e fazer é o que você espera.
</p><h3>Provedores de autenticação Active Directory e SAML
</h3><p>De um nível superior, o processo é semelhante ao LDAP do ponto de vista do ECE. Você cria um provedor de autenticação SAML ou Active Directory, atribui um nome a ele, especifica como o ECE deve se comunicar com o servidor e define os mapeamentos que devem ser aplicados.
</p><p>Consulte a documentação para obter uma descrição completa de como configurar um <a href="/guide/en/cloud-enterprise/current/ece-create-saml-profiles.html" target="_blank">provedor de autenticação SAML</a> ou um <a href="/guide/en/cloud-enterprise/current/ece-create-ad-profiles.html" target="_blank">provedor de autenticação Active Directory</a>.
</p><h3>Suporte a API REST
</h3><p>Todas as operações anteriores também podem ser executadas usando a <a href="/guide/en/cloud-enterprise/current/ece-restful-api.html" target="_blank">API REST</a>. Por exemplo, para buscar uma lista de todos os usuários, mesmo aqueles que estão desabilitados no momento:
</p><pre class="prettyprint">GET /api/v1/users?include_disabled=true
</pre><p>Suponha que você precisa conceder acesso a uma nova administradora de sistema, a Sarah. Você poderia criar um novo usuário nativo para ela da seguinte maneira:
</p><pre class="prettyprint">POST /api/v1/users
{
  "user_name": "sarah",
  "security": {
    "roles": ["ece_platform_admin"],
    "password": "deadb33f"
  }
}
</pre><p>Se você quisesse alterar o acesso da Sarah, poderia enviar uma solicitação PATCH com apenas o campo que deseja alterar, nesse caso as funções:
</p><pre class="prettyprint">PATCH /api/v1/users/sarah
{
  "security": {
    "roles": ["ece_platform_viewer"]
  }
}
</pre><p>Por fim, você poderia remover a conta da Sarah com uma solicitação DELETE:
</p><pre class="prettyprint">DELETE /api/v1/users/sarah
</pre><p>Consulte a <a href="/guide/en/cloud-enterprise/current/Platform_-_Configuration_-_Security_Realms.html" target="_blank">documentação de API  REST</a> para obter detalhes e exemplos dos endpoints do provedor de autenticação.
</p><h3 style="background-color: rgb(255, 255, 255);">Comece hoje mesmo!</h3><p style="background-color: rgb(255, 255, 255);">Para obter uma lista completa das alterações feitas no ECE 2.3, confira as <a href="/guide/en/cloud-enterprise/2.3/index.html" target="_blank">notas de versão</a> e, se quiser experimentar por conta própria, comece hoje mesmo com uma <a href="/pt/downloads/enterprise" target="_blank">avaliação grátis por 30 dias</a>.
</p>

pile-of-old-keys-full-bleed.jpg

pile-of-old-keys-thumbnail.jpg

Role-based access control and external authentication is GA in ECE 2.3

Controle de acesso baseado em funções e autenticação externa entra em disponibilidade geral no ECE 2.3

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Rory Hunter

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Communication Preferences - ONLY for /communication-preferences

<p>Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/elastic-cloud-account-terms" target="_self">Termos de Serviço</a> e também concorda em receber <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">comunicações especiais</a> por meio dos dados de contato que forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.</p>

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Serverless GDPR Text

<p>Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/serverless-preview-terms" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.</p>

<p>By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.</p>

Cloud Trial GDPR Text

<p>Ao enviar, você concorda com os <a href="/pt/agreements/global/cloud-services-monthly" rel="nofollow">Termos de Serviço do Elastic Cloud</a>. Seus dados pessoais serão tratados de acordo com a <a href="/pt/legal/privacy-statement">Declaração de Privacidade da Elastic</a>.
</p>

<p>By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.</p>

Newsletter GDPR Text

<p>Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/terms-of-use" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.</p>

Explore similar demos

Explore outras demonstrações semelhantes

Overview

Load More

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

O conteúdo desta página não está disponível no idioma selecionado. A Elastic está trabalhando para garantir que o conteúdo esteja disponível em vários idiomas.Agradecemos a compreensão.

Author

Articles by

Learn more

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

Consultar a hora de início do webinar no meu fuso horário

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

Não vai conseguir participar? Inscreva-se e nós lhe enviaremos a gravação. Você também receberá um email com conteúdo relacionado.

Author

Articles by Rory Hunter

Controle de acesso baseado em funções e autenticação externa entra em disponibilidade geral no ECE 2.3

Sign up for Elastic Cloud free trial