ロール制限（Role restriction）

役割制限

役割制限は、役割が有効であるべき条件を指定するために使用できます。条件が満たされない場合、役割は無効になり、アクセスが拒否されます。制限を指定しない場合、役割は制限されず、常に有効です。これがデフォルトの動作です。

現在、役割制限はAPIキーのみにサポートされており、APIキーは単一の役割記述子のみを持つことができます。

ワークフロー

ワークフローは、特定のREST APIを呼び出すときにのみ役割が有効になるように制限することを可能にします。ワークフローによって許可されていないREST APIを呼び出すと、役割は無効になります。以下のセクションでは、役割を制限できるワークフローをリストします:

• search_application_query
• このワークフローは、役割をSearch Application Search APIのみに制限します。

ワークフロー名は大文字と小文字を区別します。

例

以下の例は、search_application_queryワークフローに対して制限を持つAPIキーを作成します。この制限により、Search Application Search APIのみを呼び出すことができます:

Python

resp = client.security.create_api_key(
   name="my-restricted-api-key",
   role_descriptors={
   "my-restricted-role-descriptor": {
   "indices": [
   {
   "names": [
   "my-search-app"
   ],
   "privileges": [
   "read"
   ]
   }
   ],
   "restriction": {
   "workflows": [
   "search_application_query"
   ]
   }
   }
   },
)
print(resp)

Js

const response = await client.security.createApiKey({
  name: "my-restricted-api-key",
  role_descriptors: {
   "my-restricted-role-descriptor": {
   indices: [
   {
   names: ["my-search-app"],
   privileges: ["read"],
   },
   ],
   restriction: {
   workflows: ["search_application_query"],
   },
   },
  },
});
console.log(response);

コンソール

POST /_security/api_key
{
  "name": "my-restricted-api-key",
  "role_descriptors": {
   "my-restricted-role-descriptor": {
   "indices": [
   {
   "names": ["my-search-app"],
   "privileges": ["read"]
   }
   ],
   "restriction":  {
   "workflows": ["search_application_query"]
   }
   }
  }
}