WSO2集成ELK时Kibana的Role Mapping替代方案及必要性咨询

该步骤是否必要？ #

这个步骤的核心作用是关联WSO2 APIM用户角色与Kibana仪表板权限，实现细粒度的访问控制：

• 如果是测试环境/单用户场景，不需要区分不同用户的访问范围，完全可以跳过该步骤，直接使用Kibana管理员账号访问所有仪表板。
• 如果是生产环境/多用户场景，需要限制不同角色的访问权限（比如分析师只能查看统计仪表板，管理员可管理所有资源），那么权限控制是必要的，只是需要用开源方案替代订阅版的Role Mapping功能。

替代方案（适用于开源版/Basic License ELK） #

官方文档中的Role Mapping是Elastic Stack X-Pack的高级订阅功能，开源版或Basic License无法直接使用，可通过以下方案实现类似效果：

1. 直接创建Kibana本地用户与角色 #

• 登录Kibana后进入Stack Management > Security > Users/Roles（基础Security功能免费可用）。
• 创建对应权限的Kibana角色：例如创建api-analyst角色，分配wso2-apim-*索引的读取权限、WSO2 APIM相关仪表板的查看权限。
• 创建本地用户并关联到对应角色，用户直接使用这些账号登录Kibana访问仪表板。

2. 集成WSO2的LDAP用户存储到Kibana #

如果WSO2使用LDAP作为用户存储，可让Kibana连接同一LDAP实现统一认证与权限映射：

• 在Elasticsearch配置文件elasticsearch.yml中添加LDAP认证配置：

  xpack.security.authc.realms.ldap.ldap1:
    type: ldap
    order: 2
    url: "ldap://your-ldap-server:389"
    bind_dn: "cn=admin,dc=example,dc=com"
    bind_password: "your-ldap-password"
    user_search:
      base_dn: "ou=users,dc=example,dc=com"
      filter: "(uid={0})"
    group_search:
      base_dn: "ou=groups,dc=example,dc=com"
    files:
      role_mapping: "/etc/elasticsearch/role_mapping.yml"
  

• 在role_mapping.yml中把LDAP组映射到Kibana角色：

  api-analyst:
    - "cn=api-analysts,ou=groups,dc=example,dc=com"
  

• 配置完成后，WSO2的LDAP用户可直接用自身账号登录Kibana，根据所在LDAP组获得对应仪表板权限。

3. 用WSO2作为IdP实现SAML/OAuth2认证+角色映射 #

若需要深度集成，可将WSO2 APIM配置为Kibana的SAML/OAuth2身份提供商：

• 配置WSO2 APIM作为SAML IdP，在Kibana中启用SAML认证，用户通过WSO2账号登录Kibana。
• 利用Kibana的基础角色映射规则（Basic License支持），将WSO2用户的角色属性映射到Kibana角色，实现权限控制。

内容的提问来源于stack exchange，提问作者Aravind aravind