Grazie ok
quindi prima di iniziare l’ estrazione
esercizio di alzare la mano chi di voi
sta utilizzando lo stack Eric va bene prendo quella
come maggioranza c’è qualcuno che usa lo scudo
già per sicurezza è come – fatto
chiunque faccia la sua propria soluzione homegrown a
sicuro elasticsearch ed è felice con
esso
è andato giù veloce, okay
quindi questo discorso riguarda lo scudo che è
l’estensione della sicurezza a elasticsearch
ma non voglio parlarne
caratteristiche Voglio anche parlare di come
il motivo per cui l’abbiamo fatto e come l’abbiamo fatto
come quello che è stato il nostro processo di pensiero a
come scrivere scudo per alzarsi e correre
con lo scudo per renderlo sicuro
design dietro e cose del genere lo farò
coprire un paio delle caratteristiche di come facile
è di alzarsi e correre perché questo
è una delle parti importanti di
elasticsearch dovrebbe essere facile da ottenere
installato e funzionante e dovrebbe anche essere
facile da alzarsi e correre con lo scudo
perché la sicurezza stessa è già abbastanza difficile
cerchiamo di non intralciarci in termini
dell’attuazione della sicurezza lo farò
coprire come un paio di casi d’uso cosa
può essere usato per coprire
come quello che sarà il prossimo
perché lei fondamentalmente ha appena iniziato
quest’anno con il primo ufficiale
rilascio e sì, ovviamente abbiamo tempo
per Q & A e se hai solo domande
alzi la mano e spero che lo vedrò
prima di andare avanti solo un po ‘
storia di elastico perché penso che sia
importante sapere che ricerca elastica o
che la compagnia non sta solo coprendo
ricerca elastica più ma un paio di
prodotti quindi la società è stata fondata nel 2012
ed era fondamentalmente fornire un
ecosistema un sistema economico in giro
ricerca elastica l’anno dopo abbiamo avuto il
mancanza di Rashid Khan e Jordan sisal
unendo così abbiamo creato lo stack di uova con
elasticsearch e l’ossidazione bandiera chiave
e l’integrazione di Hadoop abbiamo anche creato
i client di ricerca elastici che sono a
piccolo strato tra HTTP e qualsiasi
linguaggio di programmazione come Python Ruby
PHP Perl perché è così importante
oggi e in quel punto nel tempo nel 2014
abbiamo lanciato il primo prodotto commerciale
essere Marvel 2004
scopriamo anche che ci vuole del tempo per
in realtà costruisci il team attorno a quello
prodotto dell’uomo come le rocce Akebono – quello
è una buona parte del tempo e quest’anno
scudo wengie un pacchetto perline e trovato
il nostro prossimo elasticsearch e watcher
plugin commerciale sta per essere
ha rilasciato una delle parti interessanti
sull’elastico stesso siamo noi a
azienda completamente distribuita abbiamo a
un paio di uffici come qui ad Amsterdam
Mountain View London Phoenix Bolin I
io vivo a Monaco di Baviera è l’unico
fondamentalmente ho la mia piccola piccola stanza
facendo ufficio a casa mi sono unito a marzo 2013
e io lavoro sulla ricerca elastica e
scudo quindi se hai domande su entrambi
di loro sono felice di rispondere loro se tu
avere domande dopo il discorso sarò
al piano di sotto allo stand così appena arrivato
fare domande e sì , prendiamo
installato e funzionante quindi la prima domanda è
perché abbiamo fatto scudo e ritorno in
giorni in cui hai installato la ricerca elastica
non c’era sicurezza fuori dalla scatola quindi
conoscete tutti questa meravigliosa caratteristica
Peter ne ha già parlato
mattina se si esegue l’eliminazione
dichiarazione al / url tutti i tuoi dati sono
andato , consideriamo il futuro una volta
l’hai eseguito tu non l’hai considerato un
caratteristica ovviamente la domanda è dovrebbe
tutti sono in grado di cancellare i dati non e
la nostra posizione era con sicurezza è a
argomento difficile o lo fai bene o
non lo fai affatto se lo fai
qualsiasi cosa nel mezzo è una cattiva idea
di solito perché mi presenti
incoerenze la ricerca così elastica no
avere una comunicazione criptata elastica
quindi non ha avuto alcuna autorizzazione o
autenticazione senza registrazione di controllo e simili
come una società cresciuta i clienti sono cresciuti come
ben dimensionato e per molte aziende e
gli utenti è come se non ci fosse
non c’è sicurezza che non possiamo usare questo
prodotto quindi abbiamo pensato che dovevamo farlo
qualcosa a riguardo
per fortuna la comunità ha pensato al
lo stesso e c’erano molte persone
implementando le proprie soluzioni e
come uno dei più noti ero io
metti un motore X di fronte
elasticsearch e poi tutto è
tipo di sicuro e si potrebbe configurare
nginx o qualsiasi altro server web come
Apache o lighty lo chiami – blocchi vicino
URL: blocco tramite metodo HTTP da bloccare
P così hai avuto il controllo di base
rifiutando le richieste e consentendo i diritti
solo da un certo IP o qualsiasi altra cosa tu
potrebbe implementare la gestione degli utenti di base
usando i beta core e come usare HT
file basati su possibilità in Apache o altri
altro server web è possibile alias alias
e filtri per mi piace ridurre il numero di
documenti che un singolo utente è in grado di vedere
e ha funzionato ha avuto un po ‘di base
funzionalità per la sicurezza di base ma come
per risolvere operazioni su più indici come
immagina di avere due indici e tu
filtra per espressione regolare e tu
vuoi che un solo utente acceda al tuo lucchetto
dati in questo esempio c’è il male
indicizzare quali utenti non dovrebbero avere accesso
è solo una via di mezzo così tu
bisogno di una gestione intelligente dell’URL in
nginx per essere sicuro che questo indice
non viene filtrato mentre lo usi
alias e tu ti assicuri sempre che ci sia
solo un indice viene interrogato ma lo è
qualcosa che è necessario prendere in considerazione
e devi tenere a mente per
sistema sicuro pubblico e potente
le operazioni sono un altro problema di nginx
davvero bello configurare il tuo L
endpoint e consentire solo determinati
determinati metodi HTTP o qualcosa del genere
ma se vuoi filtrare
Le richieste in realtà si deve andare dentro
del corpo HTTP e scoprire è questo un
indice che l’utente dovrebbe scrivere o
non è un indice e questo è davvero
noioso e questo implica anche te
devi mettere in pausa il corpo due volte una volta con
nginx e elasticsearch stanno facendo il
lo stesso ovviamente per scoprire che dobbiamo
Indicare i dati in modo da avere il doppio del
il lavoro successivo è la ricerca elastica
non solo HTTP abbiamo il nostro protocollo
chiamato il protocollo di trasporto che è
usato per non notare la comunicazione così tu
è necessario assicurarsi che nessuno sia in grado di farlo
bypassa la tua piccola piccola nginx
configurazione che dovrebbe essere
sicuro è facile che tu possa mettere un firewall
tra e fuori vai tutto è
bloccato tutto va bene se prendi a
guarda questo che scoprirai
che hai un qualche tipo di operativo
in testa in questa fase hai elastico
ricerca che memorizza i dati che hai
nginx che è usato per AC else che hai
potenzialmente nginx che viene utilizzato per te
utente
ma forse hai qualche algebra
che viene utilizzato dalla gestione dell’utente in modo
in pratica inizi a sparpagliare tutto
la tua configurazione su di te usa il tuo
firewall per il filtraggio IP e il
sovraccarico operativo di gestione di questo
soprattutto se si vuole ridimensionare e
sei una grande azienda e devi chiedere
un dipartimento per cambiare un firewall
configurazione è necessario chiedere l’altro
il dipartimento stava cambiando il tuo nginx
configurazione
diventa enorme perché non hai
un posto centrale per configurare questo e
quando arriva anche l’ overhead operativo
le persone enormi non usano i sistemi e questo
era uno dei pensieri dietro a noi scudo
vuoi mantenere le cose facili che puoi risolvere
sicurezza come questa, ma lo sarà
molto più lavoro ok così come l’abbiamo fatto
una delle cose che la maggior parte della gente sa è
che elasticsearch è altamente inseribile
e una delle nostre prime considerazioni quando
scrivere attorno a qualcosa come la sicurezza
è quello che non vuoi avere
elasticsearch la versione open source
e poi hai elasticsearch il
versione sicura e devi mantenere
due diverse versioni di elasticsearch
questo ucciderà la tua produttività come
parte della squadra interna perché
elasticsearch è il modulo su noi collegabili
non dovevamo farlo, dovevamo solo farlo
creare i ganci giusti all’interno di
elasticsearch quindi abbiamo potuto inserire a
plugin di sicurezza e questo è quello che noi
in fondo è stato molto più facile
è molto più facile lavorare tanto quando
costruiamo scudo era in realtà a cambiare
il nucleo per supportare tutti quelli
caratteristiche perché il nucleo non è stato costruito
con la sicurezza in mente all’inizio
questo significa che dovevamo cambiare il 50% di
il lavoro per lo scudo era al centro di
effettivamente ottenere il nucleo dove volevamo
avere e poi dopo aver fatto questo noi
sono stati finalmente in grado di costruire sicurezza come a
plugin e un’altra cosa è che noi
non avere una sorta di primo o secondo
protocolli di classe in modo che HTTP sia importante
essere protetto come protocollo di trasporto
quando parlano nel nodo al nodo
comunicazione e l’ultima parte
ovviamente è diventato più importante come il
numero di prodotti all’interno della nostra azienda
è cresciuto è la parte di integrazione non è
sufficiente per proteggere semplicemente elasticsearch
dobbiamo anche assicurarci che Cabana
continua a lavorare con ciò che dobbiamo fare
certo che il lock stash è in grado di indicizzare
in ricerca elastica anche se è protetta
con scudo cose del genere così
la durata è davvero importante così come
test in questo caso uno dei migliori
parti su questo è se si sicuro
elasticsearch e lo fai su un
livello di elasticsearch che ottieni sostanzialmente
sicurezza anche per Cubana
Cabana solo Clarisse elasticsearch e
dobbiamo solo passare attraverso tutto il
informazioni di autenticazione e noi no
necessità di aggiungere sicurezza all’interno di Cabana
tutto è solo lì e pronto così
come funziona o come fa apparire
come se tu prendessi uno stock elasticsearch
che è la linea verde l’idea di base
dietro lo scudo è che ci sono i ganci
alcune posizioni che abbiamo appena messo un
strato aggiuntivo attorno a elasticsearch
e questo strato sta facendo tutto il
l’ autorizzazione all’autenticazione controlla così a
la richiesta arriva contiene alcuni
nome utente delle informazioni di autenticazione
sessione di password che non lo chiamiamo
cura
e fondamentalmente lo strato intorno prima
controlli questo utente esiste se esiste
è l’utente autorizzato a eseguirlo
azione e solo se entrambi sono concessi
e dato che praticamente lo passiamo
al nucleo elasticsearch che sta facendo
il lavoro come al solito e si o voi
ritorno e 200 ok o sei appena tornato
che l’utente non è autorizzato a
esegui questa azione anche il livello può
basta fare il filtraggio IP come possiamo controllare
a questo livello è già l’IP dove
questa richiesta viene da
autenticato o lo permettiamo o lo facciamo noi
rifiutare di nuovo uno dei sì base
idee dietro ricerca elastica e sicurezza
era che dovrebbe essere davvero molto facile
per alzarsi e correre e tutto quello che hai
per fare è fondamentalmente devi installare
ricerca elastica stock ricerca elastica 1.6
c’è un plugin di licenza per shield o
per prodotti commerciali e hai bisogno di
installa scudo quindi è fondamentalmente solo per
installazioni di plugin pure e una volta
si avvia ricerca elastica dopo aver fatto
questo puoi vedere immediatamente che lo è
funziona perché di default è solo
rifiuta ogni richiesta se non l’hai fatto
configurato tutto ciò che è necessario aggiungere un
utente di tornare effettivamente anche il
richiesta di base in / url per impostazione predefinita
ottenere un errore di autorizzazione
va bene così prima di iniziare con quello
domande su questo grande così che tipo
di caratteristiche abbiamo il primo è
Filtro IP come ho detto che non è possibile
implementalo completamente nel tuo
configurazione del firewall se vuoi ma
potrebbe davvero essere un sacco di lavoro se
hai voglia di aggiungere altro se continui
aggiunta o rimozione continua dei nodi
e tu non vuoi cambiare il
configurazione da qualche altra parte tutto il
tempo il filtro IP è fondamentalmente solo
un parametro semplice nel elasticsearch
file di llaman che è scudo o trasporto
filtro e puoi aggiungere indirizzi IP
che dovrebbe essere consentito o rifiutato così
in questo esempio sto fondamentalmente rifiutando
l’intera classe CNET che usa il Siddha
notazione qui e sto permettendo un singolo
IP Potrei anche solo scrivere underscore
tutto nel parametro deny e lo farebbe
respingere qualsiasi connessione in ingresso
la parte importante è che l’impostazione può
essere aggiornato dinamicamente perché se tu
mettilo nel file di configurazione e tu
aggiungi un nuovo nodo che dovresti riavviare
la nota per prendere il
configurazione in vigore ma utilizzando il
API di aggiornamento del cluster API che puoi
cambiarlo in runtime in modo da poterlo aggiungere
i nodi rimuovono i nodi e cambiano il
impostazione se vuoi si questo questo
il filtro è fondamentalmente riutilizzato internamente
Nettie per la comunicazione di rete e
in pratica questa cartella IP viene semplicemente attivata
i primi controlli sono l’ IP in arrivo di un TCP
la connessione dovrebbe essere consentita e
chiude la connessione se non è così
è un semplice controllo che facciamo anche questo
prima di fare un negoziato per
esempio perché fa fare un sacco di
senso di passare i cicli della CPU e necessario
negoziazione se si rifiuta il
richiesta dopo va bene, è veloce
introduzione nel filtraggio IP
comunicazione crittografata quando è necessario
perché ne hai bisogno , una ragione potrebbe
essere che si desidera utilizzare perché si
desidera utilizzare HTTPS per esterno
comunicazione quindi se hai un HTTP
client che accede ad altri dati
la ragione potrebbe essere che non lo sai
abbastanza sulla tua infrastruttura, se lo è
sicuro come prendere AWS per esempio
non so chi c’è dentro
tra te non sai quanto sia grande il
distanza tra due servizi forse
sono nella stessa zona ma forse loro
sono ancora potenziali hacker in mezzo
che sono in grado di leggere il testo in chiaro
dati quindi se non si conosce il
crittografia dell’infrastruttura anche dal nodo
per nodo ha molto senso se tu
assolutamente sicuro che tu abbia un
rete sicura
forse la comunicazione da nodo a nodo
non ha bisogno di essere criptato a tutti è
è una questione di gusti e forse a
questione del requisito a seconda del tuo
configurare così come funziona il libro di configurazione
e ho scritto che c’è una storia chiave
il key store silenzioso è fondamentalmente è un
l’invenzione di java e il keystore è
fondamentalmente solo il contenitore per piacere
gestire i certificati in Java se si utilizza
Apache o nginx o qualcosa del genere
non usi un file specifico ma tu
basta fare riferimento ai certificati come chiaro
file di testo e in Java è necessario mettere
loro in un formato specifico in modo java
l’applicazione può leggerlo e questo è
fondamentalmente il keystore
configurazione che è menzionata qui così
hai bisogno di un percorso che è un file per questo
key store ed è necessario inserire la password
la password è fondamentalmente solo per sbloccare
questo keystore può essere letto da allora
elasticsearch 1.6 puoi anche leggere il
password all’avvio quindi non è necessario
memorizzarlo nel file di configurazione se
pensi che sia molto importante
password sicura in modo che si vuole ottenere
richiesto quando si avvia elasticsearch
puoi configurare SSL o TLS in base a
il trasporto, quindi se si desidera solo per
sicuro HTTP, puoi semplicemente configurarlo
impostazione se si desidera proteggere HTTP e
il protocollo di trasporto quindi la nota a
nota la comunicazione puoi farlo come
bene chi pochi lavora con SSL e ha un
divertimento nel trattare con certificati e CAS
e cose così fantastiche quando ho detto
divertimento tutti hanno alzato le mani che è
pauroso
SSL è davvero complesso e difficile da fare
avere ragione e una delle cose che tu
non dovresti fare quello che puoi fare è quello
usi certificati autofirmati che
in pratica significa che non hai un CA tu
avere un singolo certificato e quando tu
avere due nodi che devono firmare ciascuno
il certificato di altro quando ti trovi in un
terzo nodo ogni nodo deve nuovamente firmare
quei certificati così quando ne hai 10
nota che ogni certificato deve essere
con un certificato dell’altro biglietto e
questo non scala non è possibile farlo ma
solo perché puoi non dovresti il
la soluzione corretta è usare effettivamente un c8
che firma ogni certificato una volta e
perché è firmato dalla CA è fatto
allora questo certificato è considerato
fidato e questo è come dovresti
di solito lo fanno tutto il resto è giusto
un overhead di manutenzione dovresti
astenersi dal fatto che si può usare a
configurazione diversa per un economico e
trasporto abbiamo anche la nozione di
profili in termini di ricerca elastica 1.4
che fondamentalmente ti permette di ascoltare
un indirizzo IP diverso in un altro
porta così elastica la ricerca può ascoltare
diverse combinazioni di porte IP e puoi
anche configurare un certo certo di
quelle combinazioni che sono solo
considerato avere un cliente in arrivo
traffico quindi se si utilizza l’API Java e
puoi configurare quelli esplicitamente che puoi
configurare lo scudo per rifiutare automaticamente
richieste che non arriverà mai dal
fuori ma dovrebbero essere inviati
all’interno di un cluster come livello shard
richieste e potresti anche configurare
un’altra impostazione che puoi fare se usi
il client Java è quello esterno
comunicazione dal client Java
crittografato ma dal nodo al nodo
la comunicazione internamente non lo è
crittografato se lo si desidera se si utilizza SSL
Ti consiglio vivamente di usare Java
8 perché la prestazione di crittografia SSL è
molto più veloce perché usa la CPU
estensioni che esistono per AES
la crittografia ad esempio Java 7 non lo fa
supportalo ancora bene , parliamo di
educazione a chi sei tu la cosa degli utenti
l’autenticazione è che tu fornisci a
nome utente e una password e il servizio
ricevere il nome utente nel passato sarà
vai da qualche parte e conferma che tu
in realtà un utente che hai effettivamente
questa password i meccanismi di Oz in
lo scudo è chiamato risme e le risme possono
hanno diverse implementazioni
adesso ci sono tre e il prossimo
il rilascio dello scudo avrà il quarto
per prendere piqué piqué i1 il più semplice
sono gli anni degli utenti reali è fondamentalmente
solo un vero uomo basato su file vedremo a
un paio di esempi per questo in un secondo
il secondo è il programma Alda quindi se
non vuoi gestire tu stesso gli utenti
ma tu hai già la maggior parte dei tuoi utenti
in alcune directory LDAP su alcuni Active
Directory che è il reham pubblicitario che puoi
basta usare questo per l’autenticazione uno di
le belle parti qui sono che i sogni possono
essere incatenato in modo da poter avere un utente es
le libertà e poi un sommato il principale
la ragione di ciò è che potresti volerlo
essere in grado di accedere comunque alla tua nota anche se
l’ aggiunta di un prelim è in realtà in calo se
qualcuno sta facendo aggiunge manutenzione e
non puoi ottenere alcuna statistica di monitoraggio
fuori dal tuo cluster perché il tuo utente
non è questa directory su L come bene
brutto e questo è un momento in cui dovresti
avere determinati utenti nell’utente es
sweden e altri nella directory LDAP
e c’è il supporto per il caching così
immagina il tuo indice con 100.000 richieste
un secondo ciò che non vuoi fare è
martella anche il server LDAP
con 100.000 richieste di autenticazione a
secondo perché non è così
sostenibile quindi c’è un caching
meccanismo nel mezzo che può essere utilizzato
per le ruote e puoi cancellare quello come
bene la regione del piqué piqué ii’m
fondamentalmente ti permette di usare il lato client
certificati quindi cosa significa questo
date a ogni cliente che lo desidera
accedere a elasticsearch il proprio certificato
e il certificato ne contiene altri
le informazioni che usano questo sono e
invece di fornire un nome utente e a
password con ogni richiesta l’identità
degli utenti definiti automaticamente quando
la connessione è iniziata con SSL così
questo significa che non devi preoccuparti di
per qualsiasi password del nome utente nel tuo
applicazioni e tu puoi potenzialmente
basta rifiutare questo certificato se tu
non voglio più usarlo come parte di
il negozio di fiducia che è in uso va bene
come sembra quindi questo è un basic
questa è la configurazione per i cerchi
il file di cammello elasticsearch che puoi vedere
ecco il nome dei cerchi che puoi
scegli liberamente quelli di cui è il tipo
importante e l’ordine e ciò che voi
di solito dovrebbe sempre fare è che es
le stanze degli utenti hanno l’ordine 0 che è il
cerchio che sta per essere provato prima e
questo è quello locale, questo è sempre
sarà il più veloce e non ha bisogno
qualsiasi rete
viaggio e sì, gli altri possono essere
impilato in modo arbitrario ma altamente sospetto
non avrai più di tre stanze in
la tua configurazione regolare sì il
il primo è solitamente usato per cose del genere
monitorare gli utenti se si dispone di un utente neg
che richiede ogni minuto per alcuni
controllo della natura o qualsiasi altra cosa non vorresti
voglio mettere questo in un laboratorio ed è
è probabile che tu sia in grande
società non hai diritto
accedere comunque per aggiungere nuovi utenti così come
gli utenti sono gli utenti reali
in realtà lavoro alla fine sono solo alcuni
file di configurazione che sono locali e
c’è un sigillo in cima a quello
invece di usare un editor per
gestire l’aggiunta o la rimozione di utenti non c’è
un paio di strumenti a linea di comando che
la nave è refrigerata internamente, fondamentalmente
creare due file e questi due file sono
continuamente osservato da elasticsearch così
non appena li cambi e sono
essere scritto
fondamentalmente ricarichiamo il tutto
configurazione e c’è un file utente
che sostanzialmente assomiglia ai file
da una possibilità HT contengono a
username e una password e c’è a
file dei ruoli utente simile al gruppo ‘etc’
alla fine della giornata che contiene a
nome utente e il gruppo è l’utente
appartiene a questo è una sorta di comando
le opzioni di linea che è possibile eseguire è possibile aggiungere
un nuovo utente è possibile modificare i ruoli di a
questo utente aggiunge il ruolo di amministratore e
rimuovere il ruolo utente che è possibile elencare tutti
utenti e i loro ruoli specifici
c’è anche controllato che se un utente ha
certi ruoli che non esistono lo farai
ricevi un avvertimento perché è molto probabile
avere un problema di configurazione lì e te
non posso cancellare gli utenti, ma di nuovo questo è
solo un piccolo strato in cima al
file una delle funzionalità che puoi anche
avere con l’autenticazione è
accesso anonimo di default abbiamo solo
respingere qualsiasi richiesta e scudo che è
Non associato all’utente perché noi
pensa che questo sia un errore o tu
fornire un utente che non si è in un sicuro
cluster ma se si desidera creare
qualcosa come un sistema di sola lettura quindi
che hai solo bisogno di autenticazione e
autorizzazione se si scrivono dati
questo in realtà potrebbe avere senso per te
puoi sempre leggere i dati che puoi sempre
cercare i dati quindi è possibile abilitare il
l’ utente anonimo specifica un nome utente
specificare alcune regole che richiedono senza
qualsiasi autenticazione in mezzo fluido e
da allora in poi questa parola è stata
modifica dello scudo 1.1 così ogni volta che tu
installare uno scudo up-to-date questo è su
e correndo bene la seconda grande cosa è
l’autorizzazione in modo È consentito
farlo e questo è il questo è un
file di configurazione
è un yum e il fuoco, quindi di nuovo usiamo il
stesso tipo di sintassi che conosci dal
configurazione elasticsearch e tu
fondamentalmente definire un ruolo il nome del ruolo
admin e tu definisci che tipo di
privilegi che questo ruolo dovrebbe essere
permesso di eseguire così l’utente amministratore è
permesso di fare qualsiasi cosa in questo esempio
e fondamentalmente decidiamo tra tre
nomi diversi qui, quindi abbiamo un ruolo
che è il set di nomi di permessi noi
avere un permesso per esempio tutto è a
permesso che è molto vicino e lì
sono i privilegi e privilegi sono
fondamentalmente le singole operazioni quindi a
il permesso come tutti è solo un gruppo di
privilegia quindi un paio di altri esempi
qui hai un esempio che hai un
ruolo utente che è autorizzato a leggere tutto
indici e rileggere è solo un raggruppamento
per cose come l’esecuzione di ricerche
esecuzione suggerimenti esecuzione possa avere a
singoli documenti quindi tutto ciò
ti permette di estrarre dati da un
indicizzare gli eventi utente è un po ‘di più
limitato perché puoi solo leggere i dati
con un indice che inizia con gli eventi
sottolineatura ma puoi ancora leggere i dati
e puoi andare ancora più lontano possibile
definire un file di registro utilizzare un ruolo di sola lettura
è permesso solo leggere i dati da
questo decennio qualcosa di questa 201 in qui
e questo è fondamentalmente il precedente
Ad esempio, questo utente può solo ottenere
dati quindi non è nemmeno permesso di cercare
dall’indice degli eventi e questo è come
costruisci la tua configurazione e la chiave
ruoli dentro
ok, l’ultima caratteristica comune qui è la
audit trail che verrà rilasciato
nella prossima versione a strati che è
speriamo di arrivare molto presto e l’audit
il sentiero sa che questa funzione è già lì
un’estensione attraverso questo manca così
la pista di controllo sostanzialmente ti permette di
bloccare ogni azione che è in atto
eseguito e tu puoi decidere circa il
granularità che puoi volere solo tu puoi
solo vogliono sapere di accesso
violazioni quindi qualcuno con un indirizzo IP
che era stato rifiutato può essere bloccato
qualcuno ha sbagliato questa autenticazione sbagliata
password qualcuno che cerca di eseguire un
operazione che non dovrebbe
eseguire in modo da poter configurare il
granularità e il livello di blocco qui ma
puoi anche solo bloccare tutto ma
questo significa che ogni richiesta di ricerca su
ogni singolo scatto produrrà un blocco
linea così questa è carina e prolissa
disabilitato per impostazione predefinita se si desidera la verifica
abilitato c’è la configurazione
impostazione e la granularità è solo dentro
il proprio file di configurazione di login che
è possibile impostare parlare ok Let su
integrazione qui come ho detto al
all’inizio non abbiamo solo elastico
cerca più così abbiamo bisogno di prendere un po ‘
più cura delle diverse caratteristiche e
i diversi prodotti e il primo
l’integrazione è piuttosto facile il trasporto
client perché è un’API Java che possiamo
basta applicare la stessa configurazione che abbiamo fatto
per gli ultimi quattro ultimi si esercita il
serrature – con le sue uscite elasticsearch
e i suoi input elasticsearch fondamentalmente
ha bisogno di una configurazione per un nome utente e
password con cui deve essere inviato
ogni richiesta ogni volta che si sta indicizzando
data cabana 3 è piuttosto semplice perché
accede direttamente a elasticsearch e
usa solo i codici di risposta HTTP per
autenticazione e cose del genere così
è solo una finestra di autenticazione di base
qivana per ora anche solo in avanti
richiede avanti e indietro tra
elasticsearch nel browser così anche
inoltra semplicemente anche la base HTTP
l’ osservatore di informazioni deve lavorare con
scudo ovviamente alla prossima pubblicità
plugin Marvell ha bisogno di lavorare con lo scudo
La Marvel è semplice
qualche cronista incorporato che continuamente
scrive statistiche in elasticsearch e
anche questo deve essere fornito
informazioni di autenticazione durante la scrittura
dati e questo è il tipo di
integrazione che abbiamo e interessante
parte è il trasporto allineato questo è un
regolare trasporto straniero di configurazione
linee si configura il nome del cluster e il
connessione dobbiamo connetterci ma il
la parte interessante è l’utente dello scudo
configurazione perché qualunque cosa tu metta
qui è usato con ogni singolo
richiesta inviata, quindi questo è un log
riporre il caso d’uso ad ogni richiesta
viene inviato per l’indicizzazione di più dati di registro
o qualsiasi altro dato indicizzato con i lucchetti –
quelle credenziali sono aggiunte questo funziona
per le serrature – ma immagina di avere una rete
applicazione che utilizza il titolare in base
approccio in modo che l’utente a seconda
l’utente che è bloccato e nel tuo
sessione che vuoi scrivere con diversi
permessi questo non funziona con questo
approccio, ma quello che puoi fare è che puoi
configurare un’intestazione in ogni singolo
richiesta
in modo da estrarre il nome utente fuori dal
la sessione dell’utente lo configura per
ogni operazione su indice e tu puoi essere
sicuro che l’utente è autorizzato a
scrivi negli indici che gli hai concesso
scrivere in ok un paio di altri usi
casi qui e vedremo un paio di
file di configurazione vedremo una coppia
dei casi d’uso più comuni e il
il primo è il monitoraggio
applicazione quindi cosa c’è di speciale in questo
di solito il monitoraggio non ne ha bisogno
accesso in scrittura legge solo i dati
approccio semplice sarebbe quello di concedere
accesso anomalo a questo però non lo sono
così sicuro se tutte le statistiche del nodo e
applicare e indici statistiche che possono
rivelano un sacco di informazioni dovrebbe essere
accesso in una fase di sola lettura è possibile
voglio proteggere quelli perché loro
contenere i dati sensibili in modo potenzialmente
quello che puoi fare è aggiungere solo un
ruolo specifico che ha il monitor
ruoli allegati per indici e cluster
privilegi e questo significa che puoi leggere
tutte le statistiche che vengono utilizzati per
crea le statistiche Marvel per esempio
il secondo caso d’ uso è serrature – serrature –
di solito non ha bisogno di alcun accesso in lettura
a meno che non si usi l’ input elasticsearch
ma penso che il 95% delle persone sia giusto
l’output elasticsearch per scrivere il log
file o qualsiasi altro dato che hanno sbloccato
– e ovviamente hai bisogno di un indice
permessi per te in DC se usi
la configurazione di default – tutto il
serrature – – indici e hai bisogno di
consentire la scrittura per i modelli di indice
perché blocciamo quello che inizia, ci prova
per memorizzare un modello di indice che puoi
disabilita questo e blocca – o tutto ciò di cui hai bisogno
per concedere il permesso allora c’è
Marvel Marvel consiste di due componenti
un componente è usato per visualizzare tutto
le metriche che vengono archiviate
la parte di monitoraggio e l’ altra è
il componente che segnala e memorizza
in elasticsearch e questo è
chiamato un agente e anche l’agente ha bisogno
scrivere modelli di indice e ottenerli
e ha bisogno di scrivere nella Marvel
indici e li creo perché anche loro
utilizza indici al giorno a rotazione sul
altra parte se il tuo utente Marvel utilizza il
Componente Marvel siamo web il web
cosa di front-end che devi ottenere
informazioni sulla licenza tu
informazioni di internet sulle note e
è necessario avere accesso a tutti i
Indici Marvel questo è solo questo
un altro caso d’uso sì e dovremmo parlare
sul tipo di installazione che penso sia
abbastanza comune nell’e-commerce è così
Ho iniziato con elasticsearch . Uso il
ultimo esercizio come motore di ricerca del prodotto
e di solito hai o potenzialmente
avere un componente che sta facendo un po ‘
tipo di indice di massa nella notte come
reenacting di tutti i tuoi dati e questo
ha bisogno di scrivere in un indice chiamato
i prodotti sottolineano qualsiasi idea
dietro questo è quello che tu hai
un indice prodotti uno e un altro indice
prodotti – e hai un alias chiamato
prodotti che punta sempre a uno di
quegli indici e nella notte tu
eseguire una indicizzazione di massa in quella
indice che non viene utilizzato per ricerche sulla vita
allora aspetti che questo sia fatto e
poi capovolgi l’interruttore e punta il tasto
alias per l’ altro indice così completamente
l’indicizzazione non influisce sulla tua ricerca
ricerca in corso e se
hai un grosso ruolo che è fondamentalmente
sto solo eseguendo questo lavoro notturno con cron
necessario per consentire di scriverlo a entrambe le
gli indici che devi aggiungere sono gestiti
capacità perché hai bisogno
capovolgi l’interruttore per l’alias e tu
potrebbe voler aggiungere capacità di lettura come
bene – forse assicurati che tutti i dati
hai scritto è completo come contare
per esempio, allora potresti averne un altro
processo che si aggiorna continuamente
le cose durante il giorno, quindi per esempio se
le variazioni di magazzino di un determinato prodotto
si consiglia di aggiornare questo su un per
documento base nel momento in cui entra
invece di avere un lavoro di importazione notturno
e questo è un punto abbastanza interessante
ai prodotti quindi non punta al reale
indice è sempre permesso solo di aggiornare
l’ indice che l’alias è in realtà
indicando così questo si aggiorna sempre
l’indice di vita e non importa se
sono i prodotti uno o due prodotti
indice e può potenzialmente anche eliminare
documenti il prossimo ruolo sarebbe il
applicazione che esegue le ricerche
stesso così questo ha solo bisogno della ricerca
operazione l’ operazione get che è
potenzialmente tutto intorno alla ricerca
non scrivere niente del genere
potresti potenzialmente avere un monitoraggio
ruolo che ha bisogno di estrarre tutto il
informazioni che vuoi rappresentare graficamente da qualche parte
o questa è Marvel o tu ne hai la tua
soluzione grafica homegrown e in
Inoltre potresti avere una vendita
rappresentante perché sei anche tu
memorizzando le tue vendite e
elasticsearch o alcuni eventi sociali voi
vuoi leggere qualsiasi cosa tu abbia
ulteriore specifica funzionalità del titolare
okay, questo era il tipo di uso
casi se leggi lo scudo
documentazione che abbiamo tipo di
ampiamente trattato e spiegato
quando hai bisogno di questo prossimo capitolo
è quello che è il prossimo quindi era ancora carina
giovane la prima versione anche se il
rilascio pubblico era nel gennaio di questo
anno 1.0 ora è un punto uno
punto due un punto tre sta arrivando
e abbiamo ancora un sacco di idee come come
per estenderlo potremmo potenzialmente voler
semplificare la configurazione SSL perché
questo intero deposito chiavi gestisce Java
le persone sono abituate a questo, ma semplici mortali
non possiamo volerlo semplificare a
bit semplicemente specificando i certificati
invece di prendere i certificati mettendo
in un file specifico di Java e poi
dire a qualcuno di usarlo è solo un
un po ‘più noioso
uno dei punti deboli degli utenti ES
stanza è che è necessario copiare il file
che vengono generati su tutte le note
perché tutte le note devono avere
le informazioni di nomi utente che
password e ruoli che puoi automatizzare
questo ovviamente con fantoccio qualunque tu
nominalo ma sarebbe molto più facile
se il cluster lo farà già
avere un componente che parla del
rete in modo potrebbe effettivamente avere senso
per usare questo e così il piano è quello di avere
un utente guidato da API e gestione dei ruoli
quindi non devi preoccuparti dei file
memorizzato su disco basta inviare un comando
ad alcune API e le distribuiamo
oltre l’ aula aprendo il reale
L’API è un grande argomento per noi, non appena
si inizia ad avere una sorta di modulare
meccanismo per l’autenticazione delle persone
come si, sarebbe bello se tu
supportare un token web JSON che vogliamo davvero
oo auth e riguardo le telecamere e tutto il
cose e vogliamo davvero una sessione
meccanismo di autenticazione basato perché
adesso devi sempre fornire l’ utente
nome e password ad ogni richiesta ma
sarebbe bello se tu avessi qualcosa
che scade dopo un certo periodo di tempo
potremmo scrivere tutti noi stessi
ma questo sarebbe davvero davvero noioso
e la gente avrebbe sempre voluto
avere un altro reale intorno a quello che è il nostro
l’idea è che fondamentalmente apriamo il
tutta l’API intorno a ciò che abbiamo detto
gente è così che realizzi il tuo
nella nostra stanza abbiamo già inserito la cache
posto e cose del genere in modo che tu possa
basta riutilizzare un sacco di componenti pensa di
plugin di ricerca elastici
ma solo un plugin per gli scudi in cima
che un’altra cosa è a livello di campo
sicurezza di cui stavo parlando
era fondamentalmente noto livello di indice così tu
può proteggere un indice che non è in corso
in grado di leggere è possibile utilizzare alias per rendere
certo che l’utente può solo leggere determinati
parti di un indice ma l’utente può
leggi sempre il documento completo o può farlo
non c’è niente in mezzo, ma se lo hai
documentato che contiene davvero sensibile
dati che si può decidere di fare in modo che questo
i documenti possono essere cercati ma tu
non voglio restituire questi dati e tu
voglio essere sicuro che alcuni utenti non possano
anche cercare determinati campi e questo
è la sicurezza a livello di campo ne abbiamo alcuni
idee su questo abbiamo alcuni prototipi
andando in quella direzione questo
l’implementazione è un contenuto complicato
potenzialmente ha un impatto sulle prestazioni come
bene così
ci metteremo un po ‘di tempo prima di uscire
con la soluzione ma questo è qualcosa
che è in aumento perché è un
requisito noto e l’ultima parte
su cui si sta lavorando ora
la pista di controllo di cui ho appena parlato
che è attualmente scritto in un log
il file potrebbe in realtà avere un senso
scrivilo su elasticsearch perché allora
puoi cercare la pista di controllo e
un’altra caratteristica delle linee che potresti usare
osservatore e viene avvisato automaticamente
nel caso tu abbia una certa quantità di
errori di accesso o violazioni della sicurezza o
roba del genere che fa riutilizzare le cose
molto senso e quindi la prossima versione è
in grado di mettere effettivamente in atto l’auditor
elasticsearch invece di scriverlo
il file sì, Kerberos è un’altra cosa
in realtà Java è piuttosto buono
il supporto per le telecamere in modo che possiamo venire
con un’altra stanza anche lì
l’integrazione di kiba è un altro argomento che noi
voglio condividere in modo che gli utenti possano vedere solo
i loro cruscotti specifici invece di tutti
di loro ma questo è tutto ciò che
sono sul tipo di roadmap a lungo termine quindi
non abbiamo date definitive per questo
ok, penso di aver quasi finito un paio di
le risorse prima che abbiamo finito c’è un
documentazione della sheave disponibile online
c’è anche una conversazione di Ibanez del tipo
della squadra conduce dietro lo scudo
c’è un altro webinar se vuoi
saperne di più
ci sono discussioni sui forum quindi di recente
cambiato i nostri forum da Google
Gruppi per discutere di quale sia il
discusso del CEO elastico c’è a
forum di scudo specifico quindi se lo provi
fuori e corri contro qualsiasi muro per favore
per favore, per favore, per favore, scriviamo, diamo il nostro
meglio rispondere così, ma assicurati di te
dicci quando qualcosa è un problema sì
se vuoi leggere cose per il primo
libro ho sentito che devi solo chiedere a
singola domanda deve essere buono, quindi questo
è un grande libro sulla ricerca in generale
se lavori molto con SSL MT è un TLS
leggi questo libro spiega molto
le vulnerabilità degli ultimi anni
e come trattare come una cella nella parte destra
modo e il ragazzo penso che il suo nome sia pari
ricco ha anche un blocco fantastico, quindi se
non vuoi essere preso dalle 500 pagine
il tuo tempo per leggere
bloccare è davvero importante per tipo di
tieniti aggiornato con cosa succede
ssl / tls con tutte le vulnerabilità
che è successo l’ultimo o la metà
anni e l’ultimo è chiamato
ingegneria della sicurezza che è un ebook gratuito
così copre solo un sacco di aspetti
quando è necessario implementare la sicurezza in
di sistemi distribuiti quindi questo è questo è
è importante che arrivino tonnellate di incontri
Unisciti a uno se ti manca una città in
le 81 città in cui vivi parlano
Leslie farà totalmente un meetup
capita e possiamo coprire tutto
meno in quanto tale va bene così
tu
quindi prima di iniziare l’ estrazione
esercizio di alzare la mano chi di voi
sta utilizzando lo stack Eric va bene prendo quella
come maggioranza c’è qualcuno che usa lo scudo
già per sicurezza è come – fatto
chiunque faccia la sua propria soluzione homegrown a
sicuro elasticsearch ed è felice con
esso
è andato giù veloce, okay
quindi questo discorso riguarda lo scudo che è
l’estensione della sicurezza a elasticsearch
ma non voglio parlarne
caratteristiche Voglio anche parlare di come
il motivo per cui l’abbiamo fatto e come l’abbiamo fatto
come quello che è stato il nostro processo di pensiero a
come scrivere scudo per alzarsi e correre
con lo scudo per renderlo sicuro
design dietro e cose del genere lo farò
coprire un paio delle caratteristiche di come facile
è di alzarsi e correre perché questo
è una delle parti importanti di
elasticsearch dovrebbe essere facile da ottenere
installato e funzionante e dovrebbe anche essere
facile da alzarsi e correre con lo scudo
perché la sicurezza stessa è già abbastanza difficile
cerchiamo di non intralciarci in termini
dell’attuazione della sicurezza lo farò
coprire come un paio di casi d’uso cosa
può essere usato per coprire
come quello che sarà il prossimo
perché lei fondamentalmente ha appena iniziato
quest’anno con il primo ufficiale
rilascio e sì, ovviamente abbiamo tempo
per Q & A e se hai solo domande
alzi la mano e spero che lo vedrò
prima di andare avanti solo un po ‘
storia di elastico perché penso che sia
importante sapere che ricerca elastica o
che la compagnia non sta solo coprendo
ricerca elastica più ma un paio di
prodotti quindi la società è stata fondata nel 2012
ed era fondamentalmente fornire un
ecosistema un sistema economico in giro
ricerca elastica l’anno dopo abbiamo avuto il
mancanza di Rashid Khan e Jordan sisal
unendo così abbiamo creato lo stack di uova con
elasticsearch e l’ossidazione bandiera chiave
e l’integrazione di Hadoop abbiamo anche creato
i client di ricerca elastici che sono a
piccolo strato tra HTTP e qualsiasi
linguaggio di programmazione come Python Ruby
PHP Perl perché è così importante
oggi e in quel punto nel tempo nel 2014
abbiamo lanciato il primo prodotto commerciale
essere Marvel 2004
scopriamo anche che ci vuole del tempo per
in realtà costruisci il team attorno a quello
prodotto dell’uomo come le rocce Akebono – quello
è una buona parte del tempo e quest’anno
scudo wengie un pacchetto perline e trovato
il nostro prossimo elasticsearch e watcher
plugin commerciale sta per essere
ha rilasciato una delle parti interessanti
sull’elastico stesso siamo noi a
azienda completamente distribuita abbiamo a
un paio di uffici come qui ad Amsterdam
Mountain View London Phoenix Bolin I
io vivo a Monaco di Baviera è l’unico
fondamentalmente ho la mia piccola piccola stanza
facendo ufficio a casa mi sono unito a marzo 2013
e io lavoro sulla ricerca elastica e
scudo quindi se hai domande su entrambi
di loro sono felice di rispondere loro se tu
avere domande dopo il discorso sarò
al piano di sotto allo stand così appena arrivato
fare domande e sì , prendiamo
installato e funzionante quindi la prima domanda è
perché abbiamo fatto scudo e ritorno in
giorni in cui hai installato la ricerca elastica
non c’era sicurezza fuori dalla scatola quindi
conoscete tutti questa meravigliosa caratteristica
Peter ne ha già parlato
mattina se si esegue l’eliminazione
dichiarazione al / url tutti i tuoi dati sono
andato , consideriamo il futuro una volta
l’hai eseguito tu non l’hai considerato un
caratteristica ovviamente la domanda è dovrebbe
tutti sono in grado di cancellare i dati non e
la nostra posizione era con sicurezza è a
argomento difficile o lo fai bene o
non lo fai affatto se lo fai
qualsiasi cosa nel mezzo è una cattiva idea
di solito perché mi presenti
incoerenze la ricerca così elastica no
avere una comunicazione criptata elastica
quindi non ha avuto alcuna autorizzazione o
autenticazione senza registrazione di controllo e simili
come una società cresciuta i clienti sono cresciuti come
ben dimensionato e per molte aziende e
gli utenti è come se non ci fosse
non c’è sicurezza che non possiamo usare questo
prodotto quindi abbiamo pensato che dovevamo farlo
qualcosa a riguardo
per fortuna la comunità ha pensato al
lo stesso e c’erano molte persone
implementando le proprie soluzioni e
come uno dei più noti ero io
metti un motore X di fronte
elasticsearch e poi tutto è
tipo di sicuro e si potrebbe configurare
nginx o qualsiasi altro server web come
Apache o lighty lo chiami – blocchi vicino
URL: blocco tramite metodo HTTP da bloccare
P così hai avuto il controllo di base
rifiutando le richieste e consentendo i diritti
solo da un certo IP o qualsiasi altra cosa tu
potrebbe implementare la gestione degli utenti di base
usando i beta core e come usare HT
file basati su possibilità in Apache o altri
altro server web è possibile alias alias
e filtri per mi piace ridurre il numero di
documenti che un singolo utente è in grado di vedere
e ha funzionato ha avuto un po ‘di base
funzionalità per la sicurezza di base ma come
per risolvere operazioni su più indici come
immagina di avere due indici e tu
filtra per espressione regolare e tu
vuoi che un solo utente acceda al tuo lucchetto
dati in questo esempio c’è il male
indicizzare quali utenti non dovrebbero avere accesso
è solo una via di mezzo così tu
bisogno di una gestione intelligente dell’URL in
nginx per essere sicuro che questo indice
non viene filtrato mentre lo usi
alias e tu ti assicuri sempre che ci sia
solo un indice viene interrogato ma lo è
qualcosa che è necessario prendere in considerazione
e devi tenere a mente per
sistema sicuro pubblico e potente
le operazioni sono un altro problema di nginx
davvero bello configurare il tuo L
endpoint e consentire solo determinati
determinati metodi HTTP o qualcosa del genere
ma se vuoi filtrare
Le richieste in realtà si deve andare dentro
del corpo HTTP e scoprire è questo un
indice che l’utente dovrebbe scrivere o
non è un indice e questo è davvero
noioso e questo implica anche te
devi mettere in pausa il corpo due volte una volta con
nginx e elasticsearch stanno facendo il
lo stesso ovviamente per scoprire che dobbiamo
Indicare i dati in modo da avere il doppio del
il lavoro successivo è la ricerca elastica
non solo HTTP abbiamo il nostro protocollo
chiamato il protocollo di trasporto che è
usato per non notare la comunicazione così tu
è necessario assicurarsi che nessuno sia in grado di farlo
bypassa la tua piccola piccola nginx
configurazione che dovrebbe essere
sicuro è facile che tu possa mettere un firewall
tra e fuori vai tutto è
bloccato tutto va bene se prendi a
guarda questo che scoprirai
che hai un qualche tipo di operativo
in testa in questa fase hai elastico
ricerca che memorizza i dati che hai
nginx che è usato per AC else che hai
potenzialmente nginx che viene utilizzato per te
utente
ma forse hai qualche algebra
che viene utilizzato dalla gestione dell’utente in modo
in pratica inizi a sparpagliare tutto
la tua configurazione su di te usa il tuo
firewall per il filtraggio IP e il
sovraccarico operativo di gestione di questo
soprattutto se si vuole ridimensionare e
sei una grande azienda e devi chiedere
un dipartimento per cambiare un firewall
configurazione è necessario chiedere l’altro
il dipartimento stava cambiando il tuo nginx
configurazione
diventa enorme perché non hai
un posto centrale per configurare questo e
quando arriva anche l’ overhead operativo
le persone enormi non usano i sistemi e questo
era uno dei pensieri dietro a noi scudo
vuoi mantenere le cose facili che puoi risolvere
sicurezza come questa, ma lo sarà
molto più lavoro ok così come l’abbiamo fatto
una delle cose che la maggior parte della gente sa è
che elasticsearch è altamente inseribile
e una delle nostre prime considerazioni quando
scrivere attorno a qualcosa come la sicurezza
è quello che non vuoi avere
elasticsearch la versione open source
e poi hai elasticsearch il
versione sicura e devi mantenere
due diverse versioni di elasticsearch
questo ucciderà la tua produttività come
parte della squadra interna perché
elasticsearch è il modulo su noi collegabili
non dovevamo farlo, dovevamo solo farlo
creare i ganci giusti all’interno di
elasticsearch quindi abbiamo potuto inserire a
plugin di sicurezza e questo è quello che noi
in fondo è stato molto più facile
è molto più facile lavorare tanto quando
costruiamo scudo era in realtà a cambiare
il nucleo per supportare tutti quelli
caratteristiche perché il nucleo non è stato costruito
con la sicurezza in mente all’inizio
questo significa che dovevamo cambiare il 50% di
il lavoro per lo scudo era al centro di
effettivamente ottenere il nucleo dove volevamo
avere e poi dopo aver fatto questo noi
sono stati finalmente in grado di costruire sicurezza come a
plugin e un’altra cosa è che noi
non avere una sorta di primo o secondo
protocolli di classe in modo che HTTP sia importante
essere protetto come protocollo di trasporto
quando parlano nel nodo al nodo
comunicazione e l’ultima parte
ovviamente è diventato più importante come il
numero di prodotti all’interno della nostra azienda
è cresciuto è la parte di integrazione non è
sufficiente per proteggere semplicemente elasticsearch
dobbiamo anche assicurarci che Cabana
continua a lavorare con ciò che dobbiamo fare
certo che il lock stash è in grado di indicizzare
in ricerca elastica anche se è protetta
con scudo cose del genere così
la durata è davvero importante così come
test in questo caso uno dei migliori
parti su questo è se si sicuro
elasticsearch e lo fai su un
livello di elasticsearch che ottieni sostanzialmente
sicurezza anche per Cubana
Cabana solo Clarisse elasticsearch e
dobbiamo solo passare attraverso tutto il
informazioni di autenticazione e noi no
necessità di aggiungere sicurezza all’interno di Cabana
tutto è solo lì e pronto così
come funziona o come fa apparire
come se tu prendessi uno stock elasticsearch
che è la linea verde l’idea di base
dietro lo scudo è che ci sono i ganci
alcune posizioni che abbiamo appena messo un
strato aggiuntivo attorno a elasticsearch
e questo strato sta facendo tutto il
l’ autorizzazione all’autenticazione controlla così a
la richiesta arriva contiene alcuni
nome utente delle informazioni di autenticazione
sessione di password che non lo chiamiamo
cura
e fondamentalmente lo strato intorno prima
controlli questo utente esiste se esiste
è l’utente autorizzato a eseguirlo
azione e solo se entrambi sono concessi
e dato che praticamente lo passiamo
al nucleo elasticsearch che sta facendo
il lavoro come al solito e si o voi
ritorno e 200 ok o sei appena tornato
che l’utente non è autorizzato a
esegui questa azione anche il livello può
basta fare il filtraggio IP come possiamo controllare
a questo livello è già l’IP dove
questa richiesta viene da
autenticato o lo permettiamo o lo facciamo noi
rifiutare di nuovo uno dei sì base
idee dietro ricerca elastica e sicurezza
era che dovrebbe essere davvero molto facile
per alzarsi e correre e tutto quello che hai
per fare è fondamentalmente devi installare
ricerca elastica stock ricerca elastica 1.6
c’è un plugin di licenza per shield o
per prodotti commerciali e hai bisogno di
installa scudo quindi è fondamentalmente solo per
installazioni di plugin pure e una volta
si avvia ricerca elastica dopo aver fatto
questo puoi vedere immediatamente che lo è
funziona perché di default è solo
rifiuta ogni richiesta se non l’hai fatto
configurato tutto ciò che è necessario aggiungere un
utente di tornare effettivamente anche il
richiesta di base in / url per impostazione predefinita
ottenere un errore di autorizzazione
va bene così prima di iniziare con quello
domande su questo grande così che tipo
di caratteristiche abbiamo il primo è
Filtro IP come ho detto che non è possibile
implementalo completamente nel tuo
configurazione del firewall se vuoi ma
potrebbe davvero essere un sacco di lavoro se
hai voglia di aggiungere altro se continui
aggiunta o rimozione continua dei nodi
e tu non vuoi cambiare il
configurazione da qualche altra parte tutto il
tempo il filtro IP è fondamentalmente solo
un parametro semplice nel elasticsearch
file di llaman che è scudo o trasporto
filtro e puoi aggiungere indirizzi IP
che dovrebbe essere consentito o rifiutato così
in questo esempio sto fondamentalmente rifiutando
l’intera classe CNET che usa il Siddha
notazione qui e sto permettendo un singolo
IP Potrei anche solo scrivere underscore
tutto nel parametro deny e lo farebbe
respingere qualsiasi connessione in ingresso
la parte importante è che l’impostazione può
essere aggiornato dinamicamente perché se tu
mettilo nel file di configurazione e tu
aggiungi un nuovo nodo che dovresti riavviare
la nota per prendere il
configurazione in vigore ma utilizzando il
API di aggiornamento del cluster API che puoi
cambiarlo in runtime in modo da poterlo aggiungere
i nodi rimuovono i nodi e cambiano il
impostazione se vuoi si questo questo
il filtro è fondamentalmente riutilizzato internamente
Nettie per la comunicazione di rete e
in pratica questa cartella IP viene semplicemente attivata
i primi controlli sono l’ IP in arrivo di un TCP
la connessione dovrebbe essere consentita e
chiude la connessione se non è così
è un semplice controllo che facciamo anche questo
prima di fare un negoziato per
esempio perché fa fare un sacco di
senso di passare i cicli della CPU e necessario
negoziazione se si rifiuta il
richiesta dopo va bene, è veloce
introduzione nel filtraggio IP
comunicazione crittografata quando è necessario
perché ne hai bisogno , una ragione potrebbe
essere che si desidera utilizzare perché si
desidera utilizzare HTTPS per esterno
comunicazione quindi se hai un HTTP
client che accede ad altri dati
la ragione potrebbe essere che non lo sai
abbastanza sulla tua infrastruttura, se lo è
sicuro come prendere AWS per esempio
non so chi c’è dentro
tra te non sai quanto sia grande il
distanza tra due servizi forse
sono nella stessa zona ma forse loro
sono ancora potenziali hacker in mezzo
che sono in grado di leggere il testo in chiaro
dati quindi se non si conosce il
crittografia dell’infrastruttura anche dal nodo
per nodo ha molto senso se tu
assolutamente sicuro che tu abbia un
rete sicura
forse la comunicazione da nodo a nodo
non ha bisogno di essere criptato a tutti è
è una questione di gusti e forse a
questione del requisito a seconda del tuo
configurare così come funziona il libro di configurazione
e ho scritto che c’è una storia chiave
il key store silenzioso è fondamentalmente è un
l’invenzione di java e il keystore è
fondamentalmente solo il contenitore per piacere
gestire i certificati in Java se si utilizza
Apache o nginx o qualcosa del genere
non usi un file specifico ma tu
basta fare riferimento ai certificati come chiaro
file di testo e in Java è necessario mettere
loro in un formato specifico in modo java
l’applicazione può leggerlo e questo è
fondamentalmente il keystore
configurazione che è menzionata qui così
hai bisogno di un percorso che è un file per questo
key store ed è necessario inserire la password
la password è fondamentalmente solo per sbloccare
questo keystore può essere letto da allora
elasticsearch 1.6 puoi anche leggere il
password all’avvio quindi non è necessario
memorizzarlo nel file di configurazione se
pensi che sia molto importante
password sicura in modo che si vuole ottenere
richiesto quando si avvia elasticsearch
puoi configurare SSL o TLS in base a
il trasporto, quindi se si desidera solo per
sicuro HTTP, puoi semplicemente configurarlo
impostazione se si desidera proteggere HTTP e
il protocollo di trasporto quindi la nota a
nota la comunicazione puoi farlo come
bene chi pochi lavora con SSL e ha un
divertimento nel trattare con certificati e CAS
e cose così fantastiche quando ho detto
divertimento tutti hanno alzato le mani che è
pauroso
SSL è davvero complesso e difficile da fare
avere ragione e una delle cose che tu
non dovresti fare quello che puoi fare è quello
usi certificati autofirmati che
in pratica significa che non hai un CA tu
avere un singolo certificato e quando tu
avere due nodi che devono firmare ciascuno
il certificato di altro quando ti trovi in un
terzo nodo ogni nodo deve nuovamente firmare
quei certificati così quando ne hai 10
nota che ogni certificato deve essere
con un certificato dell’altro biglietto e
questo non scala non è possibile farlo ma
solo perché puoi non dovresti il
la soluzione corretta è usare effettivamente un c8
che firma ogni certificato una volta e
perché è firmato dalla CA è fatto
allora questo certificato è considerato
fidato e questo è come dovresti
di solito lo fanno tutto il resto è giusto
un overhead di manutenzione dovresti
astenersi dal fatto che si può usare a
configurazione diversa per un economico e
trasporto abbiamo anche la nozione di
profili in termini di ricerca elastica 1.4
che fondamentalmente ti permette di ascoltare
un indirizzo IP diverso in un altro
porta così elastica la ricerca può ascoltare
diverse combinazioni di porte IP e puoi
anche configurare un certo certo di
quelle combinazioni che sono solo
considerato avere un cliente in arrivo
traffico quindi se si utilizza l’API Java e
puoi configurare quelli esplicitamente che puoi
configurare lo scudo per rifiutare automaticamente
richieste che non arriverà mai dal
fuori ma dovrebbero essere inviati
all’interno di un cluster come livello shard
richieste e potresti anche configurare
un’altra impostazione che puoi fare se usi
il client Java è quello esterno
comunicazione dal client Java
crittografato ma dal nodo al nodo
la comunicazione internamente non lo è
crittografato se lo si desidera se si utilizza SSL
Ti consiglio vivamente di usare Java
8 perché la prestazione di crittografia SSL è
molto più veloce perché usa la CPU
estensioni che esistono per AES
la crittografia ad esempio Java 7 non lo fa
supportalo ancora bene , parliamo di
educazione a chi sei tu la cosa degli utenti
l’autenticazione è che tu fornisci a
nome utente e una password e il servizio
ricevere il nome utente nel passato sarà
vai da qualche parte e conferma che tu
in realtà un utente che hai effettivamente
questa password i meccanismi di Oz in
lo scudo è chiamato risme e le risme possono
hanno diverse implementazioni
adesso ci sono tre e il prossimo
il rilascio dello scudo avrà il quarto
per prendere piqué piqué i1 il più semplice
sono gli anni degli utenti reali è fondamentalmente
solo un vero uomo basato su file vedremo a
un paio di esempi per questo in un secondo
il secondo è il programma Alda quindi se
non vuoi gestire tu stesso gli utenti
ma tu hai già la maggior parte dei tuoi utenti
in alcune directory LDAP su alcuni Active
Directory che è il reham pubblicitario che puoi
basta usare questo per l’autenticazione uno di
le belle parti qui sono che i sogni possono
essere incatenato in modo da poter avere un utente es
le libertà e poi un sommato il principale
la ragione di ciò è che potresti volerlo
essere in grado di accedere comunque alla tua nota anche se
l’ aggiunta di un prelim è in realtà in calo se
qualcuno sta facendo aggiunge manutenzione e
non puoi ottenere alcuna statistica di monitoraggio
fuori dal tuo cluster perché il tuo utente
non è questa directory su L come bene
brutto e questo è un momento in cui dovresti
avere determinati utenti nell’utente es
sweden e altri nella directory LDAP
e c’è il supporto per il caching così
immagina il tuo indice con 100.000 richieste
un secondo ciò che non vuoi fare è
martella anche il server LDAP
con 100.000 richieste di autenticazione a
secondo perché non è così
sostenibile quindi c’è un caching
meccanismo nel mezzo che può essere utilizzato
per le ruote e puoi cancellare quello come
bene la regione del piqué piqué ii’m
fondamentalmente ti permette di usare il lato client
certificati quindi cosa significa questo
date a ogni cliente che lo desidera
accedere a elasticsearch il proprio certificato
e il certificato ne contiene altri
le informazioni che usano questo sono e
invece di fornire un nome utente e a
password con ogni richiesta l’identità
degli utenti definiti automaticamente quando
la connessione è iniziata con SSL così
questo significa che non devi preoccuparti di
per qualsiasi password del nome utente nel tuo
applicazioni e tu puoi potenzialmente
basta rifiutare questo certificato se tu
non voglio più usarlo come parte di
il negozio di fiducia che è in uso va bene
come sembra quindi questo è un basic
questa è la configurazione per i cerchi
il file di cammello elasticsearch che puoi vedere
ecco il nome dei cerchi che puoi
scegli liberamente quelli di cui è il tipo
importante e l’ordine e ciò che voi
di solito dovrebbe sempre fare è che es
le stanze degli utenti hanno l’ordine 0 che è il
cerchio che sta per essere provato prima e
questo è quello locale, questo è sempre
sarà il più veloce e non ha bisogno
qualsiasi rete
viaggio e sì, gli altri possono essere
impilato in modo arbitrario ma altamente sospetto
non avrai più di tre stanze in
la tua configurazione regolare sì il
il primo è solitamente usato per cose del genere
monitorare gli utenti se si dispone di un utente neg
che richiede ogni minuto per alcuni
controllo della natura o qualsiasi altra cosa non vorresti
voglio mettere questo in un laboratorio ed è
è probabile che tu sia in grande
società non hai diritto
accedere comunque per aggiungere nuovi utenti così come
gli utenti sono gli utenti reali
in realtà lavoro alla fine sono solo alcuni
file di configurazione che sono locali e
c’è un sigillo in cima a quello
invece di usare un editor per
gestire l’aggiunta o la rimozione di utenti non c’è
un paio di strumenti a linea di comando che
la nave è refrigerata internamente, fondamentalmente
creare due file e questi due file sono
continuamente osservato da elasticsearch così
non appena li cambi e sono
essere scritto
fondamentalmente ricarichiamo il tutto
configurazione e c’è un file utente
che sostanzialmente assomiglia ai file
da una possibilità HT contengono a
username e una password e c’è a
file dei ruoli utente simile al gruppo ‘etc’
alla fine della giornata che contiene a
nome utente e il gruppo è l’utente
appartiene a questo è una sorta di comando
le opzioni di linea che è possibile eseguire è possibile aggiungere
un nuovo utente è possibile modificare i ruoli di a
questo utente aggiunge il ruolo di amministratore e
rimuovere il ruolo utente che è possibile elencare tutti
utenti e i loro ruoli specifici
c’è anche controllato che se un utente ha
certi ruoli che non esistono lo farai
ricevi un avvertimento perché è molto probabile
avere un problema di configurazione lì e te
non posso cancellare gli utenti, ma di nuovo questo è
solo un piccolo strato in cima al
file una delle funzionalità che puoi anche
avere con l’autenticazione è
accesso anonimo di default abbiamo solo
respingere qualsiasi richiesta e scudo che è
Non associato all’utente perché noi
pensa che questo sia un errore o tu
fornire un utente che non si è in un sicuro
cluster ma se si desidera creare
qualcosa come un sistema di sola lettura quindi
che hai solo bisogno di autenticazione e
autorizzazione se si scrivono dati
questo in realtà potrebbe avere senso per te
puoi sempre leggere i dati che puoi sempre
cercare i dati quindi è possibile abilitare il
l’ utente anonimo specifica un nome utente
specificare alcune regole che richiedono senza
qualsiasi autenticazione in mezzo fluido e
da allora in poi questa parola è stata
modifica dello scudo 1.1 così ogni volta che tu
installare uno scudo up-to-date questo è su
e correndo bene la seconda grande cosa è
l’autorizzazione in modo È consentito
farlo e questo è il questo è un
file di configurazione
è un yum e il fuoco, quindi di nuovo usiamo il
stesso tipo di sintassi che conosci dal
configurazione elasticsearch e tu
fondamentalmente definire un ruolo il nome del ruolo
admin e tu definisci che tipo di
privilegi che questo ruolo dovrebbe essere
permesso di eseguire così l’utente amministratore è
permesso di fare qualsiasi cosa in questo esempio
e fondamentalmente decidiamo tra tre
nomi diversi qui, quindi abbiamo un ruolo
che è il set di nomi di permessi noi
avere un permesso per esempio tutto è a
permesso che è molto vicino e lì
sono i privilegi e privilegi sono
fondamentalmente le singole operazioni quindi a
il permesso come tutti è solo un gruppo di
privilegia quindi un paio di altri esempi
qui hai un esempio che hai un
ruolo utente che è autorizzato a leggere tutto
indici e rileggere è solo un raggruppamento
per cose come l’esecuzione di ricerche
esecuzione suggerimenti esecuzione possa avere a
singoli documenti quindi tutto ciò
ti permette di estrarre dati da un
indicizzare gli eventi utente è un po ‘di più
limitato perché puoi solo leggere i dati
con un indice che inizia con gli eventi
sottolineatura ma puoi ancora leggere i dati
e puoi andare ancora più lontano possibile
definire un file di registro utilizzare un ruolo di sola lettura
è permesso solo leggere i dati da
questo decennio qualcosa di questa 201 in qui
e questo è fondamentalmente il precedente
Ad esempio, questo utente può solo ottenere
dati quindi non è nemmeno permesso di cercare
dall’indice degli eventi e questo è come
costruisci la tua configurazione e la chiave
ruoli dentro
ok, l’ultima caratteristica comune qui è la
audit trail che verrà rilasciato
nella prossima versione a strati che è
speriamo di arrivare molto presto e l’audit
il sentiero sa che questa funzione è già lì
un’estensione attraverso questo manca così
la pista di controllo sostanzialmente ti permette di
bloccare ogni azione che è in atto
eseguito e tu puoi decidere circa il
granularità che puoi volere solo tu puoi
solo vogliono sapere di accesso
violazioni quindi qualcuno con un indirizzo IP
che era stato rifiutato può essere bloccato
qualcuno ha sbagliato questa autenticazione sbagliata
password qualcuno che cerca di eseguire un
operazione che non dovrebbe
eseguire in modo da poter configurare il
granularità e il livello di blocco qui ma
puoi anche solo bloccare tutto ma
questo significa che ogni richiesta di ricerca su
ogni singolo scatto produrrà un blocco
linea così questa è carina e prolissa
disabilitato per impostazione predefinita se si desidera la verifica
abilitato c’è la configurazione
impostazione e la granularità è solo dentro
il proprio file di configurazione di login che
è possibile impostare parlare ok Let su
integrazione qui come ho detto al
all’inizio non abbiamo solo elastico
cerca più così abbiamo bisogno di prendere un po ‘
più cura delle diverse caratteristiche e
i diversi prodotti e il primo
l’integrazione è piuttosto facile il trasporto
client perché è un’API Java che possiamo
basta applicare la stessa configurazione che abbiamo fatto
per gli ultimi quattro ultimi si esercita il
serrature – con le sue uscite elasticsearch
e i suoi input elasticsearch fondamentalmente
ha bisogno di una configurazione per un nome utente e
password con cui deve essere inviato
ogni richiesta ogni volta che si sta indicizzando
data cabana 3 è piuttosto semplice perché
accede direttamente a elasticsearch e
usa solo i codici di risposta HTTP per
autenticazione e cose del genere così
è solo una finestra di autenticazione di base
qivana per ora anche solo in avanti
richiede avanti e indietro tra
elasticsearch nel browser così anche
inoltra semplicemente anche la base HTTP
l’ osservatore di informazioni deve lavorare con
scudo ovviamente alla prossima pubblicità
plugin Marvell ha bisogno di lavorare con lo scudo
La Marvel è semplice
qualche cronista incorporato che continuamente
scrive statistiche in elasticsearch e
anche questo deve essere fornito
informazioni di autenticazione durante la scrittura
dati e questo è il tipo di
integrazione che abbiamo e interessante
parte è il trasporto allineato questo è un
regolare trasporto straniero di configurazione
linee si configura il nome del cluster e il
connessione dobbiamo connetterci ma il
la parte interessante è l’utente dello scudo
configurazione perché qualunque cosa tu metta
qui è usato con ogni singolo
richiesta inviata, quindi questo è un log
riporre il caso d’uso ad ogni richiesta
viene inviato per l’indicizzazione di più dati di registro
o qualsiasi altro dato indicizzato con i lucchetti –
quelle credenziali sono aggiunte questo funziona
per le serrature – ma immagina di avere una rete
applicazione che utilizza il titolare in base
approccio in modo che l’utente a seconda
l’utente che è bloccato e nel tuo
sessione che vuoi scrivere con diversi
permessi questo non funziona con questo
approccio, ma quello che puoi fare è che puoi
configurare un’intestazione in ogni singolo
richiesta
in modo da estrarre il nome utente fuori dal
la sessione dell’utente lo configura per
ogni operazione su indice e tu puoi essere
sicuro che l’utente è autorizzato a
scrivi negli indici che gli hai concesso
scrivere in ok un paio di altri usi
casi qui e vedremo un paio di
file di configurazione vedremo una coppia
dei casi d’uso più comuni e il
il primo è il monitoraggio
applicazione quindi cosa c’è di speciale in questo
di solito il monitoraggio non ne ha bisogno
accesso in scrittura legge solo i dati
approccio semplice sarebbe quello di concedere
accesso anomalo a questo però non lo sono
così sicuro se tutte le statistiche del nodo e
applicare e indici statistiche che possono
rivelano un sacco di informazioni dovrebbe essere
accesso in una fase di sola lettura è possibile
voglio proteggere quelli perché loro
contenere i dati sensibili in modo potenzialmente
quello che puoi fare è aggiungere solo un
ruolo specifico che ha il monitor
ruoli allegati per indici e cluster
privilegi e questo significa che puoi leggere
tutte le statistiche che vengono utilizzati per
crea le statistiche Marvel per esempio
il secondo caso d’ uso è serrature – serrature –
di solito non ha bisogno di alcun accesso in lettura
a meno che non si usi l’ input elasticsearch
ma penso che il 95% delle persone sia giusto
l’output elasticsearch per scrivere il log
file o qualsiasi altro dato che hanno sbloccato
– e ovviamente hai bisogno di un indice
permessi per te in DC se usi
la configurazione di default – tutto il
serrature – – indici e hai bisogno di
consentire la scrittura per i modelli di indice
perché blocciamo quello che inizia, ci prova
per memorizzare un modello di indice che puoi
disabilita questo e blocca – o tutto ciò di cui hai bisogno
per concedere il permesso allora c’è
Marvel Marvel consiste di due componenti
un componente è usato per visualizzare tutto
le metriche che vengono archiviate
la parte di monitoraggio e l’ altra è
il componente che segnala e memorizza
in elasticsearch e questo è
chiamato un agente e anche l’agente ha bisogno
scrivere modelli di indice e ottenerli
e ha bisogno di scrivere nella Marvel
indici e li creo perché anche loro
utilizza indici al giorno a rotazione sul
altra parte se il tuo utente Marvel utilizza il
Componente Marvel siamo web il web
cosa di front-end che devi ottenere
informazioni sulla licenza tu
informazioni di internet sulle note e
è necessario avere accesso a tutti i
Indici Marvel questo è solo questo
un altro caso d’uso sì e dovremmo parlare
sul tipo di installazione che penso sia
abbastanza comune nell’e-commerce è così
Ho iniziato con elasticsearch . Uso il
ultimo esercizio come motore di ricerca del prodotto
e di solito hai o potenzialmente
avere un componente che sta facendo un po ‘
tipo di indice di massa nella notte come
reenacting di tutti i tuoi dati e questo
ha bisogno di scrivere in un indice chiamato
i prodotti sottolineano qualsiasi idea
dietro questo è quello che tu hai
un indice prodotti uno e un altro indice
prodotti – e hai un alias chiamato
prodotti che punta sempre a uno di
quegli indici e nella notte tu
eseguire una indicizzazione di massa in quella
indice che non viene utilizzato per ricerche sulla vita
allora aspetti che questo sia fatto e
poi capovolgi l’interruttore e punta il tasto
alias per l’ altro indice così completamente
l’indicizzazione non influisce sulla tua ricerca
ricerca in corso e se
hai un grosso ruolo che è fondamentalmente
sto solo eseguendo questo lavoro notturno con cron
necessario per consentire di scriverlo a entrambe le
gli indici che devi aggiungere sono gestiti
capacità perché hai bisogno
capovolgi l’interruttore per l’alias e tu
potrebbe voler aggiungere capacità di lettura come
bene – forse assicurati che tutti i dati
hai scritto è completo come contare
per esempio, allora potresti averne un altro
processo che si aggiorna continuamente
le cose durante il giorno, quindi per esempio se
le variazioni di magazzino di un determinato prodotto
si consiglia di aggiornare questo su un per
documento base nel momento in cui entra
invece di avere un lavoro di importazione notturno
e questo è un punto abbastanza interessante
ai prodotti quindi non punta al reale
indice è sempre permesso solo di aggiornare
l’ indice che l’alias è in realtà
indicando così questo si aggiorna sempre
l’indice di vita e non importa se
sono i prodotti uno o due prodotti
indice e può potenzialmente anche eliminare
documenti il prossimo ruolo sarebbe il
applicazione che esegue le ricerche
stesso così questo ha solo bisogno della ricerca
operazione l’ operazione get che è
potenzialmente tutto intorno alla ricerca
non scrivere niente del genere
potresti potenzialmente avere un monitoraggio
ruolo che ha bisogno di estrarre tutto il
informazioni che vuoi rappresentare graficamente da qualche parte
o questa è Marvel o tu ne hai la tua
soluzione grafica homegrown e in
Inoltre potresti avere una vendita
rappresentante perché sei anche tu
memorizzando le tue vendite e
elasticsearch o alcuni eventi sociali voi
vuoi leggere qualsiasi cosa tu abbia
ulteriore specifica funzionalità del titolare
okay, questo era il tipo di uso
casi se leggi lo scudo
documentazione che abbiamo tipo di
ampiamente trattato e spiegato
quando hai bisogno di questo prossimo capitolo
è quello che è il prossimo quindi era ancora carina
giovane la prima versione anche se il
rilascio pubblico era nel gennaio di questo
anno 1.0 ora è un punto uno
punto due un punto tre sta arrivando
e abbiamo ancora un sacco di idee come come
per estenderlo potremmo potenzialmente voler
semplificare la configurazione SSL perché
questo intero deposito chiavi gestisce Java
le persone sono abituate a questo, ma semplici mortali
non possiamo volerlo semplificare a
bit semplicemente specificando i certificati
invece di prendere i certificati mettendo
in un file specifico di Java e poi
dire a qualcuno di usarlo è solo un
un po ‘più noioso
uno dei punti deboli degli utenti ES
stanza è che è necessario copiare il file
che vengono generati su tutte le note
perché tutte le note devono avere
le informazioni di nomi utente che
password e ruoli che puoi automatizzare
questo ovviamente con fantoccio qualunque tu
nominalo ma sarebbe molto più facile
se il cluster lo farà già
avere un componente che parla del
rete in modo potrebbe effettivamente avere senso
per usare questo e così il piano è quello di avere
un utente guidato da API e gestione dei ruoli
quindi non devi preoccuparti dei file
memorizzato su disco basta inviare un comando
ad alcune API e le distribuiamo
oltre l’ aula aprendo il reale
L’API è un grande argomento per noi, non appena
si inizia ad avere una sorta di modulare
meccanismo per l’autenticazione delle persone
come si, sarebbe bello se tu
supportare un token web JSON che vogliamo davvero
oo auth e riguardo le telecamere e tutto il
cose e vogliamo davvero una sessione
meccanismo di autenticazione basato perché
adesso devi sempre fornire l’ utente
nome e password ad ogni richiesta ma
sarebbe bello se tu avessi qualcosa
che scade dopo un certo periodo di tempo
potremmo scrivere tutti noi stessi
ma questo sarebbe davvero davvero noioso
e la gente avrebbe sempre voluto
avere un altro reale intorno a quello che è il nostro
l’idea è che fondamentalmente apriamo il
tutta l’API intorno a ciò che abbiamo detto
gente è così che realizzi il tuo
nella nostra stanza abbiamo già inserito la cache
posto e cose del genere in modo che tu possa
basta riutilizzare un sacco di componenti pensa di
plugin di ricerca elastici
ma solo un plugin per gli scudi in cima
che un’altra cosa è a livello di campo
sicurezza di cui stavo parlando
era fondamentalmente noto livello di indice così tu
può proteggere un indice che non è in corso
in grado di leggere è possibile utilizzare alias per rendere
certo che l’utente può solo leggere determinati
parti di un indice ma l’utente può
leggi sempre il documento completo o può farlo
non c’è niente in mezzo, ma se lo hai
documentato che contiene davvero sensibile
dati che si può decidere di fare in modo che questo
i documenti possono essere cercati ma tu
non voglio restituire questi dati e tu
voglio essere sicuro che alcuni utenti non possano
anche cercare determinati campi e questo
è la sicurezza a livello di campo ne abbiamo alcuni
idee su questo abbiamo alcuni prototipi
andando in quella direzione questo
l’implementazione è un contenuto complicato
potenzialmente ha un impatto sulle prestazioni come
bene così
ci metteremo un po ‘di tempo prima di uscire
con la soluzione ma questo è qualcosa
che è in aumento perché è un
requisito noto e l’ultima parte
su cui si sta lavorando ora
la pista di controllo di cui ho appena parlato
che è attualmente scritto in un log
il file potrebbe in realtà avere un senso
scrivilo su elasticsearch perché allora
puoi cercare la pista di controllo e
un’altra caratteristica delle linee che potresti usare
osservatore e viene avvisato automaticamente
nel caso tu abbia una certa quantità di
errori di accesso o violazioni della sicurezza o
roba del genere che fa riutilizzare le cose
molto senso e quindi la prossima versione è
in grado di mettere effettivamente in atto l’auditor
elasticsearch invece di scriverlo
il file sì, Kerberos è un’altra cosa
in realtà Java è piuttosto buono
il supporto per le telecamere in modo che possiamo venire
con un’altra stanza anche lì
l’integrazione di kiba è un altro argomento che noi
voglio condividere in modo che gli utenti possano vedere solo
i loro cruscotti specifici invece di tutti
di loro ma questo è tutto ciò che
sono sul tipo di roadmap a lungo termine quindi
non abbiamo date definitive per questo
ok, penso di aver quasi finito un paio di
le risorse prima che abbiamo finito c’è un
documentazione della sheave disponibile online
c’è anche una conversazione di Ibanez del tipo
della squadra conduce dietro lo scudo
c’è un altro webinar se vuoi
saperne di più
ci sono discussioni sui forum quindi di recente
cambiato i nostri forum da Google
Gruppi per discutere di quale sia il
discusso del CEO elastico c’è a
forum di scudo specifico quindi se lo provi
fuori e corri contro qualsiasi muro per favore
per favore, per favore, per favore, scriviamo, diamo il nostro
meglio rispondere così, ma assicurati di te
dicci quando qualcosa è un problema sì
se vuoi leggere cose per il primo
libro ho sentito che devi solo chiedere a
singola domanda deve essere buono, quindi questo
è un grande libro sulla ricerca in generale
se lavori molto con SSL MT è un TLS
leggi questo libro spiega molto
le vulnerabilità degli ultimi anni
e come trattare come una cella nella parte destra
modo e il ragazzo penso che il suo nome sia pari
ricco ha anche un blocco fantastico, quindi se
non vuoi essere preso dalle 500 pagine
il tuo tempo per leggere
bloccare è davvero importante per tipo di
tieniti aggiornato con cosa succede
ssl / tls con tutte le vulnerabilità
che è successo l’ultimo o la metà
anni e l’ultimo è chiamato
ingegneria della sicurezza che è un ebook gratuito
così copre solo un sacco di aspetti
quando è necessario implementare la sicurezza in
di sistemi distribuiti quindi questo è questo è
è importante che arrivino tonnellate di incontri
Unisciti a uno se ti manca una città in
le 81 città in cui vivi parlano
Leslie farà totalmente un meetup
capita e possiamo coprire tutto
meno in quanto tale va bene così
tu
Please follow and like us: