Cross-cluster replication security
출처: 문서
본문
클러스터 간 복제 보안
Security plugin을(를) 클러스터 간 복제와 함께 사용하여 사용자를 특정 작업으로 제한할 수 있어요. 예를 들어, 특정 사용자가 리더 또는 팔로워 클러스터에서만 복제 활동을 수행하도록 하고 싶을 수 있어요.
클러스터 간 복제는 여러 클러스터를 포함하기 때문에 클러스터마다 보안 구성이 다를 수 있어요. 다음 구성이 지원돼요:
- 두 클러스터 모두에서 Security 플러그인이 완전히 활성화되어 있어요.
- 두 클러스터 모두에서 TLS에 대해서만 Security 플러그인이 활성화되어 있어요 (
plugins.security.ssl_only). - 두 클러스터 모두에서 Security 플러그인이 없거나 비활성화되어 있어요 (권장하지 않아요).
클러스터 간 복제 트래픽이 암호화되도록 리더 클러스터와 팔로워 클러스터 모두에서 노드 간 암호화를 활성화하세요.
기본 권한
비관리자 사용자가 복제 활동을 수행하려면 적절한 권한에 매핑되어야 해요.
Security 플러그인에는 대부분의 복제 사용 사례를 다루는 두 가지 기본 역할이 있어요: 리더 클러스터에서 복제 권한을 제공하는 cross_cluster_replication_leader_full_access와 팔로워 클러스터에서 복제 권한을 제공하는 cross_cluster_replication_follower_full_access예요. 각각에 대한 설명은 Predefined roles를 참조하세요.
기본 역할을 사용하지 않으려면 개별 복제 권한을 결합하여 필요에 맞게 사용할 수 있어요. 대부분의 권한은 특정 REST API 작업에 해당해요. 예를 들어, indices:admin/plugins/replication/index/pause 권한을 사용하면 복제를 일시 중지할 수 있어요.
리더 및 팔로워 클러스터 역할 매핑
start replication 및 create replication rule 작업은 특별한 경우예요. 이 작업들은 리더 및 팔로워 클러스터에서 역할과 연결되어야 하는 백그라운드 프로세스를 포함해요. 이러한 작업 중 하나를 수행할 때는 요청에 leader_cluster_role과 follower_cluster_role을 명시적으로 전달해야 하며, OpenSearch는 이를 모든 백엔드 복제 작업에 사용해요.
비관리자가 복제를 시작하고 복제 규칙을 생성할 수 있도록 하려면 각 클러스터에 동일한 사용자(예: replication_user)를 생성하고 원격 클러스터에서는 cross_cluster_replication_leader_full_access 역할에, 팔로워 클러스터에서는 cross_cluster_replication_follower_full_access 역할에 매핑하세요. 튜토리얼은 Mapping users to roles를 참조하세요.
그런 다음 해당 역할을 요청에 추가하고 적절한 자격 증명으로 서명하세요:
curl -XPUT -k -H 'Content-Type: application/json' -u 'replication_user:password' 'https://localhost:9200/_plugins/_replication/follower-01/_start?pretty' -d '
{
"leader_alias": "leader-cluster",
"leader_index": "leader-01",
"use_roles":{
"leader_cluster_role": "cross_cluster_replication_leader_full_access",
"follower_cluster_role": "cross_cluster_replication_follower_full_access"
}
}'
개별 권한을 사용하여 사용자 정의 리더 및 팔로워 클러스터 역할을 생성할 수 있지만, 대부분의 사용 사례에 적합한 기본 역할을 사용하는 것이 좋아요.
복제 권한
다음 섹션에서는 클러스터 간 복제에 사용 가능한 인덱스 및 클러스터 수준 권한을 나열해요.
팔로워 클러스터
Security 플러그인은 팔로워 클러스터에 대해 다음 권한을 지원해요:
indices:admin/plugins/replication/index/setup/validate
indices:admin/plugins/replication/index/start
indices:admin/plugins/replication/index/pause
indices:admin/plugins/replication/index/resume
indices:admin/plugins/replication/index/stop
indices:admin/plugins/replication/index/update
indices:admin/plugins/replication/index/status_check
indices:data/write/plugins/replication/changes
cluster:admin/plugins/replication/autofollow/update
리더 클러스터
Security 플러그인은 리더 클러스터에 대해 다음 권한을 지원해요:
indices:admin/plugins/replication/index/setup/validate
indices:data/read/plugins/replication/file_chunk
indices:data/read/plugins/replication/changes