src/main/docker/elasticsearch/config/sg/sg_config.yml

   1 # This is the main Search Guard configuration file where authentication
   2 # and authorization is defined.
   3 #
   4 # You need to configure at least one authentication domain in the authc of this file.
   5 # An authentication domain is responsible for extracting the user credentials from
   6 # the request and for validating them against an authentication backend like Active Directory for example.
   7 #
   8 # If more than one authentication domain is configured the first one which succeeds wins.
   9 # If all authentication domains fail then the request is unauthenticated.
  10 # In this case an exception is thrown and/or the HTTP status is set to 401.
  11 #
  12 # After authentication authorization (authz) will be applied. There can be zero or more authorizers which collect
  13 # the roles from a given backend for the authenticated user.
  14 #
  15 # Both, authc and auth can be enabled/disabled separately for REST and TRANSPORT layer. Default is true for both.
  16 #        http_enabled: true
  17 #        transport_enabled: true
  18 #
  19 # 5.x Migration: "enabled: true/false" will also be respected currently but only to provide backward compatibility.
  20 #
  21 # For HTTP it is possible to allow anonymous authentication. If that is the case then the HTTP authenticators try to
  22 # find user credentials in the HTTP request. If credentials are found then the user gets regularly authenticated.
  23 # If none can be found the user will be authenticated as an "anonymous" user. This user has always the username "sg_anonymous"
  24 # and one role named "sg_anonymous_backendrole".
  25 # If you enable anonymous authentication all HTTP authenticators will not challenge.
  26 #
  27 #
  28 # Note: If you define more than one HTTP authenticators make sure to put non-challenging authenticators like "proxy" or "clientcert"
  29 # first and the challenging one last.
  30 # Because it's not possible to challenge a client with two different authentication methods (for example
  31 # Kerberos and Basic) only one can have the challenge flag set to true. You can cope with this situation
  32 # by using pre-authentication, e.g. sending a HTTP Basic authentication header in the request.
  33 #
  34 # Default value of the challenge flag is true.
  35 #
  36 #
  37 # HTTP
  38 #   basic (challenging)
  39 #   proxy (not challenging, needs xff)
  40 #   clientcert (not challenging, needs https)
  41 #   host (not challenging) #DEPRECATED, will be removed in a future version.
  42 #                           host based authentication is configurable in sg_roles_mapping
  43
  44 # Authc
  45 #   internal
  46 #   noop
  47
  48 # Authz
  49 #   noop
  50
  51 searchguard:
  52   dynamic:
  53     # Set filtered_alias_mode to 'disallow' to forbid more than 2 filtered aliases per index
  54     # Set filtered_alias_mode to 'warn' to allow more than 2 filtered aliases per index but warns about it (default)
  55     # Set filtered_alias_mode to 'nowarn' to allow more than 2 filtered aliases per index silently
  56     #filtered_alias_mode: warn
  57     #kibana:
  58       # see https://github.com/floragunncom/search-guard-docs/blob/master/multitenancy.md
  59       # To make this work you need to install https://github.com/floragunncom/search-guard-module-kibana-multitenancy/wiki
  60       #multitenancy_enabled: true
  61       #server_username: kibanaserver
  62       #index: '.kibana'
  63       #do_not_fail_on_forbidden: false
  64     http:
  65       anonymous_auth_enabled: false
  66       xff:
  67         enabled: false
  68         internalProxies: '192\.168\.0\.10|192\.168\.0\.11' # regex pattern
  69         #internalProxies: '.*' # trust all internal proxies, regex pattern
  70         remoteIpHeader:  'x-forwarded-for'
  71         proxiesHeader:   'x-forwarded-by'
  72         #trustedProxies: '.*' # trust all external proxies, regex pattern
  73         ###### see https://docs.oracle.com/javase/7/docs/api/java/util/regex/Pattern.html for regex help
  74         ###### more information about XFF https://en.wikipedia.org/wiki/X-Forwarded-For
  75         ###### and here https://tools.ietf.org/html/rfc7239
  76         ###### and https://tomcat.apache.org/tomcat-8.0-doc/config/valve.html#Remote_IP_Valve
  77     authc:
  78       basic_internal_auth_domain:
  79         http_enabled: true
  80         transport_enabled: true
  81         order: 4
  82         http_authenticator:
  83           type: basic
  84           challenge: true
  85         authentication_backend:
  86           type: intern
  87       proxy_auth_domain:
  88         http_enabled: false
  89         transport_enabled: false
  90         order: 3
  91         http_authenticator:
  92           type: proxy
  93           challenge: false
  94           config:
  95             user_header: "x-proxy-user"
  96             roles_header: "x-proxy-roles"
  97         authentication_backend:
  98           type: noop
  99       jwt_auth_domain:
 100         http_enabled: false
 101         transport_enabled: false
 102         order: 0
 103         http_authenticator:
 104           type: jwt
 105           challenge: false
 106           config:
 107             signing_key: "base64 encoded HMAC key or public RSA/ECDSA pem key"
 108             jwt_header: "Authorization"
 109             jwt_url_parameter: null
 110             roles_key: null
 111             subject_key: null
 112         authentication_backend:
 113           type: noop
 114       clientcert_auth_domain:
 115         http_enabled: false
 116         transport_enabled: false
 117         order: 2
 118         http_authenticator:
 119           type: clientcert
 120           config:
 121             username_attribute: cn #optional, if omitted DN becomes username
 122           challenge: false
 123         authentication_backend:
 124           type: noop
 125     authz:
 126 #    auth_failure_listeners:
 127 #      ip_rate_limiting:
 128 #        type: ip
 129 #        allowed_tries: 10
 130 #        time_window_seconds: 3600
 131 #        block_expiry_seconds: 600
 132 #        max_blocked_clients: 100000
 133 #        max_tracked_clients: 100000
 134 #      internal_authentication_backend_limiting:
 135 #        type: username
 136 #        authentication_backend: intern
 137 #        allowed_tries: 10
 138 #        time_window_seconds: 3600
 139 #        block_expiry_seconds: 600
 140 #        max_blocked_clients: 100000
 141 #        max_tracked_clients: 100000
 142