Elasticsearch API anahtarları kullanıcının izinlerini miras alır

Elasticsearch API anahtarı ilk bakışta bağımsız bir kimlik bilgisi gibi görünebilir, özellikle bir otomasyon onu bir secret manager'da saklıyorsa. Ama gerçek durum daha karmaşık: anahtar, onu yaratan kullanıcının izinlerini miras alır.

Johnettagaweraks'ın yazısında açıklanan temel nokta şu: bir API anahtarının gerçek izin seti, anahtarın kendisine atanan role descriptor'ları ile onu yaratan kullanıcının izinlerinin kesişimidir. Yani anahtar, yaratıcısından daha geniş bir erişime sahip olamaz.

Bu durum iki yüzlü bir kılıç gibi çalışır. Geniş yetkili bir yöneticinin dar scope'lu bir anahtar yaratması, role descriptor'lar doğru ayarlanmışsa otomasyon için güvenli olabilir. Ama tersine, dar yetkili bir kullanıcı geniş descriptor'ları olan bir anahtar yaratsa bile, o anahtarın gerçek erişimi yine de yaratıcısının izinleriyle sınırlı kalır.

Pratik açıdan: bir API anahtarını incelemeden önce sadece anahtarın kendisine bakmak yetmez. Onu yaratan kullanıcının ne kadar yetkili olduğunu da kontrol etmen gerekir. Bir automation için anahtar oluştururken, hem anahtara verilen izinleri hem de yaratıcı kullanıcının izinlerini gözden geçir. Eğer yaratıcı kullanıcının yetkisi sonradan kısıtlanırsa, o kullanıcı tarafından daha önce yaratılan anahtarlar da etkilenir.