OpenSearch中创建/删除Tenant需为内部用户分配哪些权限？

要实现仅允许内部用户创建、删除租户，无需授予all_access这种全量权限，只需配置最小权限集即可，具体如下：

核心权限说明 #

OpenSearch的租户管理由Security插件负责，所需权限均为集群级操作权限，具体包含：

• cluster:admin/opendistro/security/tenant/create：允许创建新租户
• cluster:admin/opendistro/security/tenant/delete：允许删除已有租户
• cluster:admin/opendistro/security/tenant/get：允许查看租户列表（方便用户定位要删除的租户，可选但建议包含）

配置步骤 #

1. 创建自定义角色
   可以通过OpenSearch Dashboards的Security界面，或直接调用API创建角色：

   PUT _plugins/_security/api/roles/tenant_crud_role
   {
     "cluster_permissions": [
       "cluster:admin/opendistro/security/tenant/create",
       "cluster:admin/opendistro/security/tenant/delete",
       "cluster:admin/opendistro/security/tenant/get"
     ],
     "index_permissions": [],
     "tenant_permissions": []
   }
   

2. 分配角色给目标用户
   将上述自定义角色tenant_crud_role分配给需要租户管理权限的内部用户，即可实现仅允许该用户执行租户的创建、删除操作，且无其他多余权限。

验证 #

登录该用户账号后，进入OpenSearch Dashboards的「Security > Tenants」页面，应能看到「Create tenant」按钮，且对已有租户可执行「Delete」操作，同时无法访问其他如用户管理、索引配置等权限范围外的功能。

内容的提问来源于stack exchange，提问作者Vishal