配置IDaaS SAML應用

1. 登錄IDaaS管理平臺。

2. 單擊目標IDaaS實例ID。

3. 添加應用。

   1. 在左側菜單欄，單擊應用。

   2. 在應用頁面，單擊添加應用。

   3. 單擊標準協議頁簽。

   4. 在SAML 2.0區域，單擊添加應用。

   5. 輸入應用名稱，單擊立即添加。

4. 在登錄訪問的單點登錄頁簽下，完成應用的單點登錄配置。

   配置如下參數，其他參數保持默認。更多參數信息，請參見IDaaS 側配置字段說明。

   分類	參數	說明
   基本配置	單點登錄地址 ACS URL	單點登錄地址用來接收來自IDP的身份驗證信息。您可以在ES控制臺的配置SAML應用向導頁面，復制單點登錄地址ACS URL。
   	應用唯一標識 SP Entity ID	應用唯一標識是服務提供者SP的訪問URL，本文的服務提供者為Kibana。您可以在ES控制臺的配置SAML應用向導頁面，復制應用唯一標識SP Entity ID。
   	授權范圍	選擇授權范圍。 如果選擇手動授權，需要在登錄訪問的應用授權頁簽中進行權限分配。
   高級配置	NameID 格式 NameIDFormat	選擇2.0 persistent。

   配置示例：

   

5. 在應用配置信息區域，單擊IdP元數據后的下載。

6. 單擊保存，保存添加的應用。

步驟一：配置IDaaS SAML應用

1. 登錄IDaaS管理平臺。

2. 單擊目標IDaaS實例ID。

3. 添加應用。

   1. 在左側菜單欄，單擊應用。

   2. 在應用頁面，單擊添加應用。

   3. 單擊標準協議頁簽。

   4. 在SAML 2.0區域，單擊添加應用。

   5. 輸入應用名稱，單擊立即添加。

4. 在登錄訪問的單點登錄頁簽下，完成應用的單點登錄配置。

   配置如下參數，選擇授權范圍，其他參數保持默認。更多參數信息，請參見IDaaS 側配置字段說明。

   分類	參數	說明
   基本配置	單點登錄地址 ACS URL	用來接收來自IDP的身份驗證信息，此ACS端點僅支持SAML HTTP-POST綁定，通常配置為：${kibana-url}:5601/api/security/v1/saml。
   	應用唯一標識 SP Entity ID	服務提供者SP的訪問URL。本文的服務提供者為Kibana，應用唯一標識需要配置為${kibana-url}:5601。
   	授權范圍	選擇授權范圍。如果選擇手動授權，需要在登錄訪問的應用授權頁簽中進行權限分配。
   高級配置	NameID 格式 NameIDFormat	選擇2.0 persistent。

   說明

   • ${kibana-url}為Kibana公網地址。

   • 您可以在配置Kibana訪問白名單的頁面查看Kibana公網地址和Kibana端口。具體操作，請參見配置Kibana公網或私網訪問白名單。

   配置示例：

   

5. 在應用配置信息區域，單擊IdP元數據后的下載。

   下載的文件即為IDaaS SAML元配置文件，以備后用。

步驟二：創建自定義角色并配置elastic SAML

1. 在目標實例中登錄Kibana控制臺。具體操作，請參見登錄Kibana控制臺。

2. 創建一個角色。具體操作，請參見通過Elasticsearch X-Pack角色管理實現用戶權限管控。

3. 將角色與SAML進行映射。

   <admin_role>需要替換為上一步創建的角色名稱。

   PUT /_security/role_mapping/idaas-test
   {
     "roles": "<admin_role>" ,
     "enabled": true,
     "rules": {
       "field": { "realm.name": "saml1" }
     }
   }

4. 制作Elasticsearch和Kibana的YML配置文件，在配置文件中添加SAML信息。

   說明

   YML參數信息需要與配置IDaaS SAML應用中配置的SAML信息保持一致。

   • elasticsearch.yml配置文件內容

     #elasticsearch.yml配置
     
     xpack.security.authc.token.enabled: 'true'
     xpack.security.authc.realms.saml.saml1:
       order: 2
       idp.metadata.path: saml/metadata.xml
       idp.entity_id: "https://es-cn-n6xxxxxx1d.elasticsearch.aliyuncs.com/"
       sp.entity_id: "https://es-cn-n6xxxxxx1d.kibana.elasticsearch.aliyuncs.com:5601/"
       sp.acs: "https://es-cn-n6xxxxxx1d.kibana.elasticsearch.aliyuncs.com:5601/api/security/v1/saml"
       attributes.principal: "nameid:persistent"
       attributes.groups: "roles"

     參數	說明
     xpack.security.authc.token.enabled	是否開啟Token服務。需要設置為true，才可配置SAML單點登錄，詳細信息請參見saml-enable-token。
     xpack.security.authc.realms.saml.saml1	定義的身份認證領域，本文示例為saml1。領域的詳細信息請參見Realms。
     order	領域優先級，數值越低，優先級越高。 說明 8.x版本要求order數值唯一性，建議使用2。
     idp.metadata.path	IDP元數據文件路徑。
     idp.entity_id	IDP使用的身份標識符，和元數據文件中的EntityID相匹配。
     sp.entity_id	Kibana實例唯一標識符，與SAML應用的應用唯一標識SP Entity ID相同。如果將Kibana添加為IDP的服務提供商，需要設置此值，推薦配置為Kibana的URL。 重要 請確保參數值與業務環境保持一致。如果您配置了反向代理訪問Kibana，而不是直接通過URL訪問，需要將該參數配置為反向代理的地址和端口。
     sp.acs	斷言消費服務ACS端點，與SAML應用的單點登錄地址ACS URL相同。用來接收來自IDP的身份驗證信息，此ACS端點僅支持SAML HTTP-POST綁定，通常配置為${kibana-url}:5601/api/security/v1/saml。 說明 ${kibana-url}為Kibana公網地址。
     attributes.principal	斷言信息，具體請參見Attribute mapping。
     attributes.groups	斷言信息，具體請參見Attribute mapping。

   • kibana.yml配置文件內容

     # kibana配置
     
     xpack.security.authc.providers:
       saml.saml1:
         order: 0
         realm: "saml1"
       basic.basic1:
         order: 1
         icon: "logoElasticsearch"
         hint: "Typically for administrators"

     參數	說明
     xpack.security.authc.providers	添加SAML提供程序，以設置Kibana使用SAML SSO作為身份驗證方法。
     xpack.security.authc.providers.saml.<provider-name>.realm	設置SAML領域名稱。請將<provider-name>替換為elasticsearch.yml中配置的領域名稱。本文示例為saml1。
     xpack.security.authc.providers.basic.basic1	Kibana配置SAML后，僅支持符合SAML身份驗證的用戶登錄Kibana。為了便于在Kibana登錄頁面支持basic身份登錄（尤其在測試環節，可能需要使用elastic用戶名和密碼登錄集群，創建角色及角色映射），可指定basic.basic1部分配置。指定后，Kibana登錄頁面會添加基本身份登錄入口，詳細信息請參見Authentication in kibana。 說明 如果用戶不需要使用basic身份登錄Kibana控制臺，可在kibana.yml中不設置basic身份登錄。

步驟三：提交文件

提交工單，將以下文件提交給阿里云Elasticsearch技術支持人員。

• IDaaS SAML元配置文件。技術人員會將SAML元配置文件上傳至elasticsearch的config/saml路徑下。

• elasticsearch.yml配置文件。技術人員會按照您提交的文件內容，在后端更新您集群的yml文件。

• kibana.yml配置文件。技術人員會按照您提交的文件內容，在后端更新您集群的yml文件。

步驟四：驗證Kibana單點登錄

待技術人員配置完成后，驗證Kibana單點登錄。

1. 進入Kibana控制臺登錄頁面，單擊Log in with saml/saml1。

   具體操作，請參見登錄Kibana控制臺。

2. 輸入IDaaS關聯的賬號，單擊提交。

   您可以看到已成功登錄Kibana頁面。