Как настроить Kibana SSO (через OAuth)?

Question

Моя компания очень старалась сохранить SSO для всех сторонних сервисов. Я хочу, чтобы Kibana работал с нашими аккаунтами Google Apps. Это возможно? Как?

Answer 1

Kibana оставляет это для вас, чтобы обеспечить безопасность. Я считаю, что у продукта Elastic Shield есть поддержка безопасности как плагин, но я не перешел на модель подписки или не посмотрел в нее.

Способ, которым я управляю этим, - использовать oauth2 proxy application и использовать nginx для обратного прокси-сервера в Kibana.

server { 
    listen 80; 
    server_name kibana.example.org; 

    # redirect http->https while we're at it 
    rewrite^https://$server_name$request_uri? permanent; 
} 

server { 
    # listen for traffic destined for kibana.example.org:443 
    listen 443 default ssl; 

    server_name kibana.example.org; 
    ssl_certificate /etc/nginx/ssl/cert.crt; 
    ssl_certificate_key /etc/nginx/ssl/cert.key.pem; 
    add_header Strict-Transport-Security max-age=1209600; 

    # for https://kibana.example.org/, send to our oauth2 proxy app 
    location/{ 

     # the oauth2 proxy application i use listens on port :4180 
     proxy_pass http://127.0.0.1:4180; 
     # preserve our host and ip from the request in case we want to 
     # dispatch the request to a named nginx directive 
     proxy_set_header Host $host; 
     proxy_set_header X-Real-IP $remote_addr; 
     proxy_set_header X-Scheme $scheme; 
     proxy_connect_timeout 15; 
     proxy_send_timeout 30; 
     proxy_read_timeout 30; 
    } 
} 

Запрос приходит, вызывает директиву Nginx, который посылает запрос к приложению ouath, который, в свою очередь, обрабатывает ресурс SSO и перенаправляет ожидающий экземпляр Kibana на локальном хосте сервера. Это безопасно, потому что соединения не могут быть сделаны непосредственно в Kibana.

Answer 2

От Elasticsearch, Kibana 5.0, плагин с защитой (плагин безопасности) встроен в x-pack (платная услуга). Так что с Kibana 5.0 вы можете:

• использование X-Pack
• использование Search Guard

Оба эти плагин может быть использован с базовой аутентификации, так что вы можете применить прокси oauth2 как this one. Один дополнительный прокси направил запрос с правом Authorization с дайджестом base64(username:password)

Процедура изображена в this article для x-pack. Таким образом, вы будете иметь:

я установки Докер-Compose конфигурацию в this repo для использования либо searchguard или х-пак с Kibana/Elasticsearch 6.1.1:

• docker-compose for searchguard
• docker-compose for x-pack