关于 OpenSearch 中的安全性
OpenSearch 中的安全围绕四个主要功能构建，它们协同工作以保护数据和跟踪集群内的活动。这些功能分别是：
- 加密。
- 身份验证。
- 访问控制。
- 审计日志和合规性。
它们共同提供对敏感数据的有效保护，通过多层防御保护数据，并在 OpenSearch 数据结构的不同级别授予或限制对数据的访问。大多数实现会结合使用这些功能的多种选项以满足特定的安全需求。
功能一览
以下主题提供了 OpenSearch 中定义安全功能的概述。
加密
加密通常解决静止数据和传输中数据的保护问题。OpenSearch 安全功能负责管理传输中的加密。
在传输中，安全功能会对进出集群以及在集群内部移动的数据进行加密。OpenSearch 使用 TLS 协议，该协议涵盖客户端到节点加密（REST 层）和节点到节点加密（传输层）。这种传输中加密的组合有助于确保对 OpenSearch 的请求以及数据在不同节点间的移动不会被篡改。
您可以在配置 TLS 证书部分找到更多关于配置 TLS 的信息。
另一方面，静止数据加密保护存储在集群中的数据，包括索引、日志、交换文件、自动化快照以及应用程序目录中的所有数据。这种类型的加密由每个 OpenSearch 节点上的操作系统管理。有关启用静止数据加密的信息，请参阅静止数据加密。
身份验证
身份验证用于验证用户的身份，通过根据后端配置验证最终用户的凭据来工作。这些凭据可以是简单的用户名和密码、JSON Web 令牌或 TLS 证书。一旦身份验证域从用户的请求中提取这些凭据，它就可以根据身份验证后端检查它们的有效性。
用于验证的后端可以是 OpenSearch 内置的内部用户数据库（用于存储用户和角色配置以及哈希密码），也可以是各种行业标准身份协议之一，例如 LDAP、Active Directory、SAML 或 OpenID Connect。一种常见的做法是链接多个身份验证方法，以创建更强大的防未经授权访问的防御。例如，这可能涉及 HTTP 基本身份验证，然后是指定 LDAP 协议的后端配置。有关设置后端的更多信息，请参阅配置安全后端部分。
访问控制
访问控制（或授权）通常涉及选择性地向用户分配权限，允许他们执行特定任务，例如清除特定索引的缓存或拍摄集群快照。但是，OpenSearch 不会直接向用户分配单独的权限，而是将这些权限分配给角色，然后将角色映射到用户。有关设置这些关系的更多信息，请参阅用户和角色。因此，角色定义了用户可以执行的操作，包括他们可以读取的数据、可以修改的集群设置、可以写入的索引等等。角色可以在多个用户之间重用，并且用户可以拥有多个角色。
OpenSearch 中访问控制的另一个显著特点是能够通过增加粒度级别来分配用户访问权限。细粒度访问控制 (FGAC) 意味着角色不仅可以控制用户在集群级别的权限，还可以控制索引级别、文档级别，甚至字段级别的权限。例如，一个角色可以为用户提供对某些集群级别权限的访问权限，但同时阻止用户访问给定的一组索引。同样，该角色可以授予对某些类型文档的访问权限，但不能授予对其他文档的访问权限，或者甚至可以包括对文档中特定字段的访问权限，但排除对其他敏感字段的访问权限。字段屏蔽通过提供屏蔽某些类型数据（例如电子邮件列表）的选项来进一步扩展 FGAC，这些数据仍然可以聚合，但角色无法查看。
要了解有关此功能的更多信息，请参阅安全文档的访问控制部分。
审计日志和合规性
最后，审计日志和合规性是指允许跟踪和分析集群内活动的机制。这在数据泄露（未经授权的访问）或数据意外暴露（例如数据留在不安全位置）时非常重要。然而，审计日志同样可以作为评估集群过载或调查特定任务趋势的宝贵工具。此功能允许您查看集群中任何位置所做的更改，并跟踪所有类型的访问模式和 API 请求，无论是有效还是无效。
OpenSearch 存档日志的方式可在多个详细级别进行配置，并且有多种选项可用于存储这些日志的位置。合规性功能还确保在需要合规性审计时，所有数据都可用。在这种情况下，日志记录可以自动化，以侧重于与这些合规性要求特别相关的数据。
要了解有关此功能的更多信息，请参阅安全文档的审计日志部分。
其他特性和功能
OpenSearch 包含其他补充安全基础设施的功能。
Dashboards 多租户
其中一个功能是 OpenSearch Dashboards 多租户。租户是包含可视化、索引模式和其他 Dashboards 对象的 Workspace。多租户允许 Dashboards 用户之间共享租户，并利用 OpenSearch 角色来管理对租户的访问并安全地将其提供给其他人。有关创建租户的更多信息，请参阅OpenSearch Dashboards 多租户。
跨集群搜索
另一个值得注意的功能是跨集群搜索。此功能允许用户从集群中的一个节点对已设置为协调此类搜索的其他集群执行搜索。与其他功能一样，跨集群搜索由 OpenSearch 访问控制基础设施支持，该基础设施定义了用户使用此功能的权限。要了解更多信息，请参阅跨集群搜索。
后续步骤
OpenSearch 安全最佳实践指南涵盖了开始使用 OpenSearch 安全时需要考虑的 10 个事项。
安全配置概述提供了在 OpenSearch 实现中设置安全的基本步骤，并包含有关根据您的业务需求自定义安全的信息链接。