Своё

хм, мне кажется лдап появился раньше посгри :)

Понял, спасиб

А есть тут люди, хорошо знакомые с shibboleth?

Пытаюсь подружить его с амазоновской кибаной, но не хватает инфы для нужных настроек.

Пилил на нём SSO для Амазона. Попробуй спросить, посмотрим, чем помочь можно.

По SSO для амазона есть дока. А вот для эластика нет, к сожалению...

Сейчас застряли на этапе, когда после логина получаем в ответ SAML с невнятным набором атрибутов и хэшем вместо имени пользователя и всем остальным в поле Name ID

А кибане по описанию нужно нормальное имя в этом поле и атрибуты с именами групп LDAP

Как это сделать - пока нет понимания

Сейчас получается примерно так:

       <saml2:Subject>
           <saml2:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"
                         NameQualifier="https://idp-core-sds-blablabla.com/idp/shibboleth"
                         SPNameQualifier="https://search-es-test-dzmi-ssfgsd4rfrq.eu-west-2.es.amazonaws.com"
                         >LIH23JXJUHBKZMCSQDZTNRGSDPHGHP3H</saml2:NameID>
           <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
               <saml2:SubjectConfirmationData Address="10.39.1.564"
                                              InResponseTo="ONELOGIN_71483302-f30f-466a-b4fb-a9a327afc66b"
                                              NotOnOrAfter="2021-05-20T09:36:01.273Z"
                                              Recipient="https://search-es-test-ssfgsd4rfrq.eu-west-2.es.amazonaws.com/_plugin/kibana/_opendistro/_security/saml/acs"
                                              />
           </saml2:SubjectConfirmation>
       </saml2:Subject>

Поясню. Нам нужно присобачить наш условно внешний IdP в виде LDAP и Shibboleth к амазоновской кибане для авторизации.

Авторизация в режиме SAML предполагается, поддержки LDAP у aws кибаны из коробки нет

Судя по доке, кибане нужен в SAML-респонсе нормальный юзернейм в виде Name ID и нормальные атрибуты групп LDAP для маппинга на свои внутренние роли.

Обычно используется локальная key-value БД: lmdb (openldap), bdb (openldap, 389ds), tdb (samba), ese (active directory).

Привет всем
подскажите пожалуйста насчет настройки аутентификации используя пароль и логин из АД винды, при этом для линукс хоста клиента используются учетные записи с атрибутами из FreeIpa

для опенлдап я такое делал используя сасл аутентификацию...

Что почитать, куда смотреть

Аутентификации где?

Пароли от учеток хранятся в винАД
я планирую слить эти учетки во Фриипа, обогатить их атрибутами и использовать на хостах под Центосом чтобы ходить на эти хосты под логином и паролем из АД
на серве FreeIPA пароли не хранятся, они лежат на серве винАД

вот хочу чтобы при заходе на Хост с центосью из серва с FreeIPA брался пользователь с атрибутами (uidnumbeer, gitnumber и т.д.)  а пароль проверялся на серве с  win АД

какая то наркомания...