TP Final : Espaces et rôles pour deux équipes avec correction

Ce que vous allez apprendre dans ce TP

• Créer des espaces
• Écrire des rôles
• Vérifier l'isolation

Introduction #

Ce que vous allez apprendre dans cette section

• Créer des espaces
• Écrire des rôles
• Vérifier l'isolation

Contexte. Deux équipes partagent la même stack Elastic. L'équipe web ne doit voir ni les données ni les dashboards de l'équipe paiement.

Prérequis : TP 3 terminé  ·  Durée estimée : 40 min

Un Kibana partagé et cloisonné.

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Créer les index des équipes

   Pourquoi ? Des index nommés par équipe facilitent les droits par motif.

   Créez deux documents, l'un dans logs-app-web, l'autre dans logs-app-paiement.
   Voir la correction

   source elastic-start-local/.env && export PASS=$ES_LOCAL_PASSWORD
   curl -s -X POST localhost:9200/logs-app-web/_doc -u elastic:$PASS -H 'Content-Type: application/json' -d '{"@timestamp":"2026-10-19T10:00:00Z","msg":"page vue"}'
   curl -s -X POST localhost:9200/logs-app-paiement/_doc -u elastic:$PASS -H 'Content-Type: application/json' -d '{"@timestamp":"2026-10-19T10:00:00Z","msg":"paiement accepté"}'

2. 2. Créer l'espace paiement

   Pourquoi ? Chaque équipe a son espace ; l'espace web existe depuis le TP 3.

   Créez l'espace equipe-paiement.
   Voir la correction

   curl -s -X POST localhost:5601/api/spaces/space -u elastic:$PASS -H 'kbn-xsrf: true' -H 'Content-Type: application/json' \
     -d '{"id": "equipe-paiement", "name": "Équipe paiement"}'

3. 3. Écrire le rôle de l'équipe web

   Pourquoi ? Le rôle combine lecture des index web et accès en lecture à l'espace web uniquement.

   Créez le rôle lecteur_web puis l'utilisateur alice.
   Voir la correction

   curl -s -X PUT localhost:5601/api/security/role/lecteur_web -u elastic:$PASS -H 'kbn-xsrf: true' -H 'Content-Type: application/json' -d '{
     "elasticsearch": { "indices": [ { "names": ["logs-app-web*"], "privileges": ["read", "view_index_metadata"] } ] },
     "kibana": [ { "base": ["read"], "spaces": ["equipe-web"] } ] }'
   curl -s -X POST localhost:9200/_security/user/alice -u elastic:$PASS -H 'Content-Type: application/json' \
     -d '{"password": "alice-lab-2026", "roles": ["lecteur_web"]}'

4. 4. Vérifier l'isolation

   Pourquoi ? La vérification se fait avec le compte restreint, pas avec le super-utilisateur.

   Avec alice, lisez les deux index puis listez les espaces accessibles.
   Voir la correction

   curl -s -u alice:alice-lab-2026 localhost:9200/logs-app-web/_search | jq '.hits.total.value'        # 1
   curl -s -u alice:alice-lab-2026 localhost:9200/logs-app-paiement/_search | jq '.error.type'          # security_exception
   curl -s -u alice:alice-lab-2026 localhost:5601/api/spaces/space | jq -r '.[].id'                     # equipe-web

5. 5. Se connecter à l'interface

   Pourquoi ? Le ressenti utilisateur confirme la configuration.

   Connectez-vous à Kibana avec alice : quels espaces et quels menus voyez-vous ?
   Voir la correction

   Alice n'accède qu'à l'espace « Équipe web », en lecture seule : elle voit le dashboard importé mais ne peut ni le modifier ni ouvrir l'espace paiement.

Niveau de difficulté : ●●●○○ (3/5)