测试环境：

OS: CentOS Linux release 7.6.1810 (Core)

ES version：7.9.2

前期准备

ES 安装

从官网下载linux源码包 https://www.elastic.co/downloads/elasticsearch

curl -L -O https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-7.9.2-linux-x86_64.tar.gz
tar -xzvf elasticsearch-7.9.2-linux-x86_64.tar.gz
cd elasticsearch-7.9.2
./bin/elasticsearch

启用安全功能

使用ES自带工具来实现。Encrypting communications in Elasticsearch

# cd ES-HOME-DIR
bin/elasticsearch-certutil ca
bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12
mv elastic-certificates.p12 config
vi config/elasticsearch.yml

针对证书，在配置文件中做修改。

xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: elastic-certificates.p12
xpack.security.http.ssl.enabled: true
xpack.security.http.ssl.verification_mode to certificate: certificate
xpack.security.http.ssl.keystore.path: elastic-certificates.p12

设置密码

通过设置访问密码，这是elastic用户和其他一些系统内置用户的密码

bin/elasticsearch-setup-passwords auto

把密码保存下来。

验证服务

$ curl https://127.0.0.1:9200/_cat/health -k -u elastic:KofFTZGdqZ8QggP3kLJw
1606371324 06:15:24 roy-es2 green 1 1 7 7 0 0 0 0 - 100.0%

申请临时证书

这是LDAP认证需要。

Starts a 30-day trial.

curl -X POST "https://localhost:9200/_license/start_trial?acknowledge=true" -k -u elastic:KofFTZGdqZ8QggP3kLJw

配置LDAP认证

修改配置文件

目前，X-Pack集成LDAP认证支持通过以下两种配置方式：

• 用户搜索模式。
• 带有用户DNs特定模板的模式。

其中，用户搜索模式是最常见的操作方式。在此模式中，具有搜索LDAP目录权限的特定用户，根据X-Pack提供的用户名和LDAP属性，搜索进行身份验证的用户的DN。一旦找到，X-Pack将使用找到的DN和提供的密码，尝试绑定到LDAP服务器来验证用户，详情请参见Configure an LDAP realm。

以下为LDAP管理DN的映射方式，需要在Elasticsearch的YML文件中添加如下配置。

xpack:
  security:
    authc:
      realms:
        ldap:
          ldap1:
            order: 0
            url: "ldap://10.0.1.5"
            #url: "ldaps://10.0.1.5:636"
            bind_dn: "cn=Manager, dc=roywork, dc=com"  #管理员dn
            bind_password: 123456                      #管理员密码
            user_search:
              base_dn: "dc=roywork,dc=com"            #用户搜索范围
              filter: "(cn={0})"
            group_search:
              base_dn: "dc=roywork,dc=com"
            files:
              role_mapping: "/es/elasticsearch-7.9.2/config/role_mapping.yml" #角色绑定配置文件
            unmapped_groups_as_roles: false

LDAP 的组/用户 与 ES roles 映射

文件形式

role_mapping.yml，可配置可不配，就放这里参考下，一般通过api配置映射关系。因为通过文件的形式需要每个node都存放一份。

superuser:
  - "cn=Manager,dc=roywork,dc=com"

API方式

Map LDAP groups to roles.

The ldap realm enables you to map LDAP users to roles via their LDAP groups, or other metadata. This role mapping can be configured via the add role mapping API or by using a file stored on each node.

使用方式

maps the LDAP admins group to both the monitoring and user roles

PUT /_security/role_mapping/admins
{
  "roles" : [ "monitoring" , "user" ],
  "rules" : { "field" : {
    "groups" : "cn=admins,dc=example,dc=com" 
  } },
  "enabled": true
}

实际使用例子

$ curl -X POST "https://localhost:9200/_xpack/security/role_mapping/users" -k -u elastic:KofFTZGdqZ8QggP3kLJw -H 'Content-Type: application/json' -d'
{
  "roles": [ "superuser" ],
  "enabled": true,
  "rules": {
    "field" : { "dn" : "*,ou=People,dc=roywork,dc=com" }              
  }
}
'

验证

$ curl "https://127.0.0.1:9200/_xpack/security/role_mapping?pretty" -k -u elastic:KofFTZGdqZ8QggP3kLJw
{
  "users" : {
    "enabled" : true,
    "roles" : [
      "superuser"
    ],
    "rules" : {
      "field" : {
        "dn" : "*,ou=People,dc=roywork,dc=com"
      }
    },
    "metadata" : { }
  }
}

测试

用LDAP 中的用户去测试连接

$ curl https://127.0.0.1:9200/_cat?pretty -k -u ldapuser2:123456
=^.^=
/_cat/allocation
/_cat/shards
/_cat/shards/{index}
/_cat/master
/_cat/nodes
/_cat/tasks
/_cat/indices
/_cat/indices/{index}
/_cat/segments
/_cat/segments/{index}
....

在ldap添加一个新用户，结果同上，说明LDAP集成已经成功了。

参考

ElasticSearch结合LDAP实现权限、用户管控

elasticsearch实现与ldap对接

LDAP user authentication （官网）