Kibanaのマルチテナント運用におけるユーザ管理について

[Yuji1 (小川雄樹)]

Kibana 7.16.2でダッシュボード機能をマルチテナント化し、組織内に展開しようと考えています。

下記サイトを参考にし、ユーザ毎に利用できる情報を制御することでマルチテナント運用を実現したいと考えています。
https://acro-engineer.hatenablog.com/entry/2018/04/12/120000

ここで課題となっているのがユーザ管理についてです。
組織A、組織Bに対してそれぞれAdminの管理者権限を割り当て、各組織でユーザ管理をさせたいと思っています。
この時、お互いの組織のユーザの情報は閲覧および操作はできないようにしたいと思っています。
上記を実現するためにはKibanaでどのように設定すれば良いかご教授頂けますでしょうか？

宜しくお願い致します。

[Tomo_M (Tomohiro Mitani)]

そのような経験はないのですが…。

kibanaのロールに割り当てられる権限は、

• Elasticsearch上の権限
  • Cluster priviledges
  • Index priviledges
• Kibana上の権限
  • Analysis, Observability, Security, Managementなど各項目についての権限

といった構造になっていて、Spaceを切り分けて分離できるのはKibana上の権限のみのようです。ユーザー管理・ロール管理を行うためにはCluster priviledgesにおいてmanage_securityを付与する必要があり、逆にmanage_securityが付与されたユーザーはクラスター上の全てのユーザー設定・ロール設定にアクセスできます。

したがって少なくともKibana単体でユーザーをグループに分けてグループ別に管理できるようにするような設定はなく、別の方法を考える必要がありそうです。

LDAPのような外部認証と組み合わせることで、グループごとのユーザー管理はそちらで行った上で、ユーザー名やグループ名に応じて各ユーザーにロールをマッピングすることはできそうではあります。

[mukai]

https://acro-engineer.hatenablog.com/entry/2018/04/12/120000
上記の記事はKibanaのスペース機能(マルチテナント機能)がない頃の物なので、今ならもう少し高度な事ができると思います。

・Spaceドキュメント

Spaces | Kibana Guide [7.16] | Elastic

・マルチテナント機能説明

Granting access to Kibana | Kibana Guide [7.16] | Elastic

完全に全てを分けたい場合は、複数クラスタを作る方法もあるとは思います。