ES8生产实践——Kibana对接Azure AD实现单点登录

基本概念介绍

什么是单点登录

单点登录（Single Sign-On，SSO）是一种身份验证和访问控制机制，允许用户使用一组凭据（通常是用户名和密码）仅需登录一次，即可访问多个应用程序或系统，而无需在每个应用程序中单独设置账号密码并进行身份验证。
在没有单点登录前，当用户访问多个应用程序时，每个应用程序需要用户提供自己的凭据进行身份验证。这种方式对用户来说很不便，需要记住多个用户名和密码，并且在每个应用程序之间进行频繁的登录操作。单点登录解决了这个问题，使用户只需在第一次登录时提供凭据，然后在访问其他应用程序时自动使用已验证的身份。
在单点登录系统中，通常有一个独立的身份提供者（Identity Provider，IdP），它负责进行用户身份验证并生成相应的身份认证令牌。一旦用户通过身份验证并获得令牌，他们可以使用该令牌访问已集成的多个应用程序或系统，而无需再次输入凭据。
单点登录提供了以下好处：

  1. 用户方便：用户只需登录一次，即可访问多个应用程序，简化了登录过程，提高了用户体验。
  2. 提高安全性：通过集中的身份验证和访问控制，单点登录可以提供更强的安全性，减少了用户密码的传输和存储，降低了风险。
  3. 简化管理：对于系统管理员来说，单点登录简化了用户账号和权限管理，减少了对多个应用程序的管理工作量。
  4. 跨域访问：单点登录可以实现跨域访问，使用户可以无缝地在不同域之间进行身份验证和访问控制。

单点登录常见协议和实现方式

  1. SAML (Security Assertion Markup Language)：SAML是一种基于XML的协议，用于在不同的安全域之间进行身份验证和授权。它是传统的SSO协议，通过将身份验证信息和授权声明封装在SAML断言中来实现单点登录。
  2. OAuth 2.0：OAuth 2.0是一种授权协议，用于授权第三方应用程序访问受保护资源。虽然OAuth 2.0主要用于授权，但它也可以用于实现单点登录。例如，使用OpenID Connect（基于OAuth 2.0）来实现身份验证和单点登录。
  3. OpenID Connect：OpenID Connect（OIDC）是基于OAuth 2.0的身份验证协议，它在OAuth 2.0的基础上添加了身份验证功能。OIDC使用JSON Web Tokens（JWT）传输身份验证信息，常用于实现单点登录。
  4. SAML-based Federation：基于SAML的联合身份验证是一种使用SAML协议实现的联合身份验证和单点登录机制。它允许不同组织之间共享身份验证和授权信息，实现跨组织的单点登录。
  5. CAS (Central Authentication Service)：CAS是一种基于票据的单点登录协议，通过使用服务器端存储的票据进行身份验证和单点登录。CAS在多个应用程序之间共享身份验证状态，实现单点登录。
  6. WS-Federation：WS-Federation是一种基于Web服务的标准，用于实现可跨域的身份验证和单点登录。它使用SOAP消息和XML格式来交换身份验证和授权信息。

SAML登录原理流程

以用户登录kibana使用Azure Active Directory为例，单点登陆包含三个角色

  • Service Provider：应用程序提供者kibana
  • User：用户浏览器，
  • Identity Provider：身份定义者Azure Active Directory

SAML登录过程如下所示：
image.png

  1. 用户使用浏览器访问Kibana
  2. Kibana根据配置文件，找到身份提供者（Azure Active Directory）对用户进行身份验证
  3. Kibana生成SAML2.0请求，并将用户浏览器重定向到Azure Active Directory单点登录URL
  4. 如果用户未登录过Azure Active Directory，则对用户进行身份验证登录并生成SAML令牌
  5. Azure Active Directory通过用户浏览器向Kibana发送SAML响应
  6. Kibana验证 SAML 响应
  7. Kibana完成用户登录

OAuth 2.0登录原理流程

以登录知乎网站，使用第三方账号(QQ登录)为例，知乎就是客户端，QQ就是认证服务器，整个流程分为以下三个阶段：
image.png

  1. 用户点击QQ登录进入授权页面同意授权，登录完成后获取到code。
  2. 知乎网站请求QQ服务器，通过code换取授权access_token。
  3. QQ通过网页授权access_token向知乎返回用户的基本信息。

SAML与OAuth 2.0对比

SAML是一种基于XML的标准，用于在不同的安全域之间交换身份验证和授权数据。它主要用于单点登录（Single Sign-On，SSO）场景，其中用户在一个身份提供者（IdP）进行身份验证后，可以无需再次输入凭据而访问其他服务提供者（SP）。SAML的工作原理是通过使用加密和数字签名来传递包含身份验证信息的XML文档。
相比之下，OAuth 2.0是一种用于授权的开放标准，广泛用于第三方应用程序获取访问受保护资源的权限。OAuth 2.0主要用于授权场景，允许用户将他们的资源（如照片、视频等）提供给其他应用程序，而无需分享他们的用户名和密码。OAuth 2.0使用访问令牌（access token）来代表授权，并通过令牌进行受保护资源的访问。
下面是SAML和OAuth 2.0之间的一些主要区别：

  • 目标：SAML的主要目标是实现单点登录和身份提供者间的身份验证和授权。OAuth 2.0的主要目标是允许用户授权第三方应用程序访问他们的资源。
  • 数据格式：SAML使用基于XML的格式来传输身份验证和授权信息，而OAuth 2.0使用基于JSON的格式。
  • 授权流程：SAML使用基于重定向和POST的流程，其中用户在身份提供者和服务提供者之间进行跳转。OAuth 2.0使用授权码授权流程、隐式授权流程和客户端凭证授权流程等不同的授权流程。
  • 用途：SAML主要用于企业环境中的身份验证和授权，例如企业内部系统的单点登录。OAuth 2.0主要用于互联网和移动应用程序中，允许用户授权第三方应用程序访问他们的资源。

准备工作

ELK升级为白金版

需要注意的是使用Azure AD登录验证需要白金级以上才可以使用。
image.png
我们可以在kibana页面选择试用白金版本功能，升级我们的license授权。
image.png

kibana启用https

默认情况下kibana是http方式访问，在实际生产环境中为满足安全需求，通常需要修改为https方式，如果使用Azure AD登录，URL地址必须为https协议。此时可选择申请公网tls证书或使用elasticsearch工具自签证书。

  • elasticsearch工具生成kibana证书和私钥
[root@es-test ~]# cd /usr/share/elasticsearch/bin/
[root@es-test bin]# ./elasticsearch-certutil csr -name kibana-server -dns kibana.test.com, localhost

生成的证书仅仅可以供kibana.test.com及 localhost 使用。上面的命令将一个叫做 csr-bundle.zip 的文件。我们使用如下的命令来进行解压缩

[root@es-test bin]# cd ../
[root@es-test elasticsearch]# ls
LICENSE.txt  NOTICE.txt  README.asciidoc  bin  csr-bundle.zip  jdk  lib  modules  plugins
[root@es-test elasticsearch]# unzip csr-bundle.zip
  • 拷贝证书至kibana目录下
[root@es-test elasticsearch]# pwd
/usr/share/elasticsearch
[root@es-test elasticsearch]# mv kibana-server /etc/kibana
  • 生成crt文件
[root@es-test ~]# cd /etc/kibana/kibana-server/
[root@es-test kibana-server]# ls
kibana-server.csr  kibana-server.key
[root@es-test kibana-server]# openssl x509 -req -in kibana-server.csr -signkey kibana-server.key -out kibana-server.crt
Certificate request self-signature ok
subject=CN = kibana-server
[root@es-test kibana-server]# ls
kibana-server.crt  kibana-server.csr  kibana-server.key
  • 修改Kibana配置
[root@es-test kibana-server]# vim /etc/kibana/kibana.yml
server.publicBaseUrl: "https://kibana.test.com:5601"
server.ssl.enabled: true
server.ssl.certificate: /etc/kibana/kibana-server/kibana-server.crt
server.ssl.key: /etc/kibana/kibana-server/kibana-server.key
  • 访问验证

image.png

Kibana修改端口为443（非必须）

非 root 用户默认无法绑定到低于 1024 的端口。
但是，从内核 2.6.24 开始，可以使用 setcap 命令为程序设置特定功能

  • 设置node进程特殊权限
[root@es-test kibana-server]# setcap 'cap_net_bind_service=+ep' /usr/share/kibana/node/bin/node
[root@es-test kibana-server]# systemctl restart kibana
  • 访问验证

image.png

Azure配置流程

创建用户和组

我们分别创建dev和ops两个组，并在每个组各创建一个用户，用户与组信息如下所示：

显示名用户名/邮箱所属组
开发人员dev@cuiliang.onmicrosoft.comdev
运维人员ops@cuiliang.onmicrosoft.comops
  • 用户信息

image.png

  • 组信息

image.png

创建企业应用程序

Microsoft Entra ID——>企业应用程序——>新建应用程序
image.png
创建你自己的应用程序——>输入应用名称——>选择集成未在库中找到的任何其他应用程序(非库)
image.png

分配用户和组

配置哪些用户和组可以登录访问kibana应用。
image.png

配置单点登录

单一登录——>选择SAML方式登录
image.png
编辑SAML配置信息

  • 标识符填写Kibana地址，注意协议必须为https，此处填写kibana的访问地址https://kibana.test.com
  • 回复URL添加kibana地址+/api/security/saml/callback
  • 注销URL填写kibana地址+/logout

image.png

配置属性

默认属性中并未携带组信息，我们可以添加组声明属性，通过Azure登录后会将用户组信息传给Kibana。
image.png
添加后页面显示内容如下
image.png

下载SAML文件

配置完后后点击下载联合元数据XML，并导入elasticsearch服务器目录中。
image.png

Elasticsearch配置

导入XML文件

将Azure下载的xml文件导入elasticsearch服务器/etc/elasticsearch/目录下，并修改所属组为elasticsearch

[root@es-test ~]# mv Kibana.xml /etc/elasticsearch/
[root@es-test ~]# cd /etc/elasticsearch/
[root@es-test elasticsearch]# chown root:elasticsearch Kibana.xml 
[root@es-test elasticsearch]# ll
total 60
-rw-r--r-- 1 root elasticsearch 14170 Dec 25 16:15 Kibana.xml
drwxr-x--- 2 root elasticsearch    62 Nov 27 16:21 certs
-rw-rw---- 1 root elasticsearch  1042 Oct 12 06:08 elasticsearch-plugins.example.yml
-rw-rw---- 1 root elasticsearch   536 Nov 27 16:21 elasticsearch.keystore
-rw-rw---- 1 root elasticsearch  4052 Nov 27 16:21 elasticsearch.yml
-rw-rw---- 1 root elasticsearch  2781 Oct 12 06:08 jvm.options
drwxr-s--- 2 root elasticsearch     6 Oct 12 06:12 jvm.options.d
-rw-rw---- 1 root elasticsearch 17969 Oct 12 06:08 log4j2.properties
-rw-rw---- 1 root elasticsearch   473 Oct 12 06:08 role_mapping.yml
-rw-rw---- 1 root elasticsearch   197 Oct 12 06:08 roles.yml
-rw-rw---- 1 root elasticsearch     0 Dec 25 15:55 users
-rw-rw---- 1 root elasticsearch     0 Dec 25 15:55 users_roles

修改elasticsearch配置文件

[root@es-test elasticsearch]# vim /etc/elasticsearch/elasticsearch.yml
xpack.security.authc.token.enabled: true # 启用令牌服务
xpack.security.authc.realms.saml.saml1: # SAML配置order: 2 idp.metadata.path: Kibana.xml # SAML文件地址idp.entity_id: "https://sts.windows.net/c0c726af-6762-4ef6-ae19-7e3edfa9b046/" # idp标识符，可从SAML文件entityID参数中获取sp.entity_id:  "https://kibana.test.com/" # 实例标识符，参考Azure单点登录SAML基本信息填写sp.acs: "https://kibana.test.com/api/security/saml/callback" # 回复URL，参考Azure单点登录SAML基本信息填写sp.logout: "https://kibana.test.com/logout" # 注销URL，参考Azure单点登录SAML基本信息填写attributes.principal: "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name" # 用户唯一表示，参考Azure单点登录属性填写attributes.groups: "http://schemas.microsoft.com/ws/2008/06/identity/claims/groups" # 用户组，参考Azure单点登录属性填写attributes.mail: "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress" # 用户邮箱，参考Azure单点登录属性填写attributes.name: "http://schemas.microsoft.com/identity/claims/displayname" # 显示名称，Azure固定值
[root@es-test elasticsearch]# systemctl restart elasticsearch

kibana配置

修改kibana配置

[root@es-test elasticsearch]# vim /etc/kibana/kibana.yml 
xpack.security.authc.providers: saml.saml1: # SAML配置order: 0realm: saml1 # SAML名称,固定值description: "Log in with Azure AD" # 描述信息icon: "https://learn.microsoft.com/zh-cn/entra/fundamentals/media/new-name/azure-ad-icon-2.png" # 显示图标basic.basic1: # 同时开启base认证order: 1
[root@es-test elasticsearch]# systemctl restart kibana

访问验证

重新访问kibana页面，可以看到除了base认证外，还新增了Azure AD登录方式。
image.png

配置角色权限

我们已经提前在Azure中创建的用户和对应的组信息，接下来只需要在kibana分别按需求创建dev和ops两个角色，分别对应Azure AD中的dev和ops两个组。

创建角色权限

创建dev角色，给开发人员使用，只需要查看kibana的Analytics模块功能即可。
image.png
创建ops角色，给运维人员使用，拥有kibana的全部权限。
image.png

查看Azure AD组ID

接下来查看Azure AD组的ID编号并记录，用于将其与kibana的dev和ops角色关联。
image.png

创建角色映射

我们已经知道了Azure AD组的id，并且已经在kibana分别创建了dev和ops角色，接下来将Azure AD的组id和kibana的角色名称关联起来即可。

  • 创建dev角色映射

image.png

  • 创建ops角色映射

image.png

访问验证

  • dev用户登录，使用Azure AD方式登录kiban，用户名为dev@cuiliang.onmicrosoft.com，登录kibana后信息和权限如下：

image.png

  • 同样的使用ops用户登录，信息如下

image.png
至此，我们顺利的完成了kibana对接Azure AD实现用户的登录认证，并将Azure AD用户的组信息关联到了kibana创建的角色上。

调试技巧

启用调试日志

可能在配置过程中经常因为参数错误而导致不能顺利登录，此时可以打开debug，根据日志内容检查配置参数。

# 开启debug
PUT /_cluster/settings
{"transient": {"logger.org.elasticsearch.xpack.security.authc": "DEBUG"}
}
# 关闭debug
PUT /_cluster/settings
{"transient": {"logger.org.elasticsearch.xpack.security.authc": null}
}

获取当前登录用户SAML元数据信息

使用Azure AD登录后，直接浏览器访问https://kibana.test.com/internal/security/me即可获取saml信息。
image.png

参考链接

Azure SAML介绍：https://learn.microsoft.com/zh-cn/entra/identity-platform/single-sign-on-saml-protocol
Azure SAML配置：https://www.elastic.co/guide/en/cloud/current/ec-securing-clusters-saml-azure.html
ELK stack SAML配置：https://www.elastic.co/guide/en/elasticsearch/reference/8.10/saml-guide-stack.html#saml-guide-stack

查看更多

微信公众号

微信公众号同步更新，欢迎关注微信公众号《崔亮的博客》第一时间获取最近文章。

博客网站

崔亮的博客-专注devops自动化运维，传播优秀it运维技术文章。更多原创运维开发相关文章，欢迎访问https://www.cuiliangblog.cn

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/577524.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

SpringIOC之AbstractResourceBasedMessageSource

SpringIOC之AbstractResourceBasedMessageSource

博主介绍：✌全网粉丝5W，全栈开发工程师，从事多年软件开发，在大厂呆过。持有软件中级、六级等证书。可提供微服务项目搭建与毕业项目实战，博主也曾写过优秀论文，查重率极低，在这方面有丰富的经验…
阅读更多...
C++11特性：线程同步之条件变量

C++11特性：线程同步之条件变量

条件变量是C11提供的另外一种用于等待的同步机制，它能阻塞一个或多个线程，直到收到另外一个线程发出的通知或者超时时，才会唤醒当前阻塞的线程。条件变量需要和互斥量配合起来使用，C11提供了两种条件变量： 1. conditi…
阅读更多...
算法学习系列（十一）：KMP算法

算法学习系列（十一）：KMP算法

目录 引言一、算法概念二、题目描述三、思路讲解三、代码实现四、测试 引言 这个KMP算法就是怎么说呢，就是不管算法竞赛还是找工作笔试面试，都是非常爱问爱考的，其实也是因为这个算法比较难懂，其实就是很难，所以非常个…
阅读更多...
智能优化算法应用：基于指数分布算法3D无线传感器网络(WSN)覆盖优化 - 附代码

智能优化算法应用：基于指数分布算法3D无线传感器网络(WSN)覆盖优化 - 附代码

智能优化算法应用：基于指数分布算法3D无线传感器网络(WSN)覆盖优化 - 附代码 文章目录 智能优化算法应用：基于指数分布算法3D无线传感器网络(WSN)覆盖优化 - 附代码1.无线传感网络节点模型2.覆盖数学模型及分析3.指数分布算法4.实验参数设定5.算法结果6.…
阅读更多...
React 路由跳转

React 路由跳转

1. push 与 replace 模式 默认情况下，开启的是 push 模式，也就是说，每次点击跳转，都会向栈中压入一个新的地址，在点击返回时，可以返回到上一个打开的地址， 就像上图一样，我们每次返…
阅读更多...
Windows下安装Oracle19C

Windows下安装Oracle19C

官网下载oracle19c 以及客户端 官网地址：Software Download | Oracle 这个是要登录账号的,没有的可以注册,登录上 这个时候在点开这个官网:Database Software Downloads | Oracle 往下面滑 点了之后有个界面注意事项勾上,点下载,你就会下载: 安装oracle19c 解压安…
阅读更多...
入门级:用devEco Studio创建一个鸿蒙APP

入门级:用devEco Studio创建一个鸿蒙APP

文章概叙 本文主要讲的是如何在鸿蒙的开发工具devEco Studio新建一个项目，全文很水，只适合新手!! 开始贴图 假设当前你已经下载好了devEco Studio,但是还没正式开始安装，此时你点击安装包，你会发下如下页面，只需要点…
阅读更多...
【Linux系统编程】【Google面试题改编】线程之间的同步与协调 Linux文件操作

【Linux系统编程】【Google面试题改编】线程之间的同步与协调 Linux文件操作

编写程序，有四个线程1、2、3、4 线程1的功能就是输1,线程2的功能就是输出2,以此类推……现在有四个文件ABCD初始都为空 现要让四个文件呈如下格式： A: 1 22 333 4444 1 22 333 4444… B: 22 333 4444 1 22 333 4444 1… C: 333 4444 1 22 333 4444 1 2…
阅读更多...
搭建react+ant design pro+umi 项目框架

搭建react+ant design pro+umi 项目框架

一、 写本文的原因 我搭建reactantdumi这个框架的原始资料主要是来源于（ReactUmi4从零快速搭建中后台系统保姆级记录教程（一、项目创建及初始化）） 而我写这篇文章的本意就是用来记录我用搭建时候的步骤汇总。 二、 npm和node版…
阅读更多...
Nginx快速入门：实现企业安全防护｜nginx部署https,ssl证书（七）

Nginx快速入门：实现企业安全防护｜nginx部署https,ssl证书（七）

0. 引言 之前我们讲到nginx的一大核心作用就是实现企业安全防护，而实现安全防护的原理就是通过部署https证书，以此实现参数加密访问，从而加强企业网站的安全能力。 nginx作为各类服务的统一入口，只需要在入口处部署一个证书&…
阅读更多...
解决Maven找不到依赖的问题

解决Maven找不到依赖的问题

如果经过Reload Maven项目，清除Idea缓存，甚至重启Idea等方法都解决不了Dependency xxx not found的问题，不妨试试手动安装。 1. 进入maven仓库，搜索自己需要的对应版本的依赖。 2. 点击下图红框jar图标下载对应的jar包&#xff0c…
阅读更多...
【K8S基础】-k8s的核心概念控制器和调度器

【K8S基础】-k8s的核心概念控制器和调度器

Kubernetes是一个开源的容器编排平台，旨在简化和自动化容器化应用程序的部署、扩展和管理。它提供了一个强大的基础设施来管理容器化应用程序的生命周期，并确保它们在整个集群中高效运行。 Kubernetes的核心概念包括集群、节点、Pod、控制器、调度器等。…
阅读更多...
lv13 环境搭建之内核编译 4

lv13 环境搭建之内核编译 4

一、开发板运行Linux 1. 网线连接开发板和主机 2. ubuntu下拷贝uImage、exynos4412-fs4412.dtb两个文件到/tftpboot目录下cd ~/fs4412cp uImage exynos4412-fs4412.dtb /tftpboot 3. rootfs.tar.xz解压到/opt/4412sudo tar xvf rootfs.tar.xz -C /opt/4412sudo chmod 777 /opt…
阅读更多...
软件测试面试八股文——基础篇

软件测试面试八股文——基础篇

5）错误推测法：是基于经验和直觉推测程序中所有可能存在的各种错误，从而有针对性的设计测试用例的方法 6）正交实验法 7）判定表法 8）测试大纲法 3、提交缺陷的八大要素 1）缺陷编号&#xff1a…
阅读更多...
2023.12.24 关于 Redis 中 String 类型内部编码和应用场景

2023.12.24 关于 Redis 中 String 类型内部编码和应用场景

目录 String 类型内部编码 3 种内部编码方式 String 类型应用场景 Cache 缓存 键名命名规则 计数（Counter） 共享会话（Session ） 手机验证码 总结 String 类型内部编码 3 种内部编码方式 int：用来表示 64 位 —…
阅读更多...
智能优化算法应用：基于食肉植物算法3D无线传感器网络(WSN)覆盖优化 - 附代码

智能优化算法应用：基于食肉植物算法3D无线传感器网络(WSN)覆盖优化 - 附代码

智能优化算法应用：基于食肉植物算法3D无线传感器网络(WSN)覆盖优化 - 附代码 文章目录 智能优化算法应用：基于食肉植物算法3D无线传感器网络(WSN)覆盖优化 - 附代码1.无线传感网络节点模型2.覆盖数学模型及分析3.食肉植物算法4.实验参数设定5.算法结果6.…
阅读更多...
详细学习Java注解Annotation、元注解（通俗易懂，一学就会）

详细学习Java注解Annotation、元注解（通俗易懂，一学就会）

概述 底层原理 自定义注解 示例代码： 1. 2.只有属性名为value的才可以，java对它进行了标识，如果是其他别名如value1是不行的 3.多个属性，必须用键值对形式，不能少写，也不能多写，除非有default修…
阅读更多...
嵌入式中一文搞定C语言数据结构--跳表

嵌入式中一文搞定C语言数据结构--跳表

大家好，今天分享一篇C语言数据结构相关的文章--跳表。 1. 什么是跳表 跳表是 链表 索引 的一种数据结构 ，是以空间换取时间的方式，关于跳表参考: https://baike.baidu.com/item/跳表/22819833?fraladdin 2. 跳表概念 跳表在原有链表的基…
阅读更多...
【算法】利用双指针法解决算法题（C++）

【算法】利用双指针法解决算法题（C++）

文章目录 1. 前言2. 双指针法引入283.移动零 3. 使用双指针法解决算法题1089.复写零202.快乐数11.盛最多水的容器[611.有效三角 形的个数](https://leetcode.cn/problems/valid-triangle-number/description/)LCR179.查找总价格为目标值的两个商品15.三数之和18.四数之和 1. 前…
阅读更多...
redis基本用法学习（C#调用StackExchange.Redis操作redis）

redis基本用法学习（C#调用StackExchange.Redis操作redis）

StackExchange.Redis是基于C#的高性能通用redis操作客户端，也属于常用的redis客户端之一，本文学习其基本用法。   新建Winform项目，在Nuget包管理器中搜索并安装StackExchange.Redis，如下图所示：   StackExchange.…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023