如何基于外部用户与组限制ElasticSearch文档访问权限？

方案1：索引嵌入ACL字段 + 查询过滤 #

• 往Elasticsearch导入文档时，直接从DynamoDB拉取该文档对应的允许访问的用户ID列表、组ID列表，将这两个作为字段（比如命名为allowed_users、allowed_groups）存储在文档中。
• 用户发起查询时，先从DynamoDB获取当前用户所属的所有组ID，再构造过滤条件：(allowed_users:当前用户ID) OR (allowed_groups:用户所属组ID)，将该条件作为查询的过滤规则，确保仅返回用户有权访问的文档。
• 注意：如果用户组关系频繁变更，要么定期将用户的组信息同步到查询上下文，要么查询时实时拉取DynamoDB数据——后者需注意性能损耗，建议搭配缓存使用。

方案2：利用Elasticsearch文档级安全（DLS） #

• 启用Elasticsearch的X-Pack Security插件，为用户创建并绑定对应角色。
• 从DynamoDB同步用户-组-文档的权限映射，为每个角色配置DLS规则，限制该角色仅能查询符合allowed_users或allowed_groups条件的文档。
• 可编写自定义脚本，定期从DynamoDB拉取权限数据，批量更新Elasticsearch中的角色DLS规则。
• 优势：权限逻辑由ES端统一处理，无需在应用层拼接过滤条件，安全性和可控性更高。

方案3：预建用户/组专属索引（适合权限稳定场景） #

• 根据DynamoDB的权限数据，为每个用户或组单独创建索引，仅导入其有权访问的文档。
• 用户查询时直接访问自身专属索引，无需额外添加过滤条件。
• 注意：若文档权限频繁变更，索引同步维护成本较高，还会增加存储开销，因此仅适合权限变动较少的场景。

核心注意事项 #

• 同步时效性：确保DynamoDB的权限变更能及时同步到Elasticsearch，避免出现权限滞后问题，可借助DynamoDB Streams触发ES的文档更新或权限规则更新。
• 性能优化：allowed_users和allowed_groups字段需设置为keyword类型，避免全文索引带来的性能损耗；若用户所属组较多，建议提前缓存组ID，减少查询时的DynamoDB调用次数。
• 兜底校验：无论采用哪种方案，应用层都需保留基础权限校验，防止恶意构造查询绕过ES的过滤规则。

内容的提问来源于stack exchange，提问作者tibbe