Splunk User InterfaceからSAMLユーザーを削除できない問題

Applicability

Description

以下のコマンドは/opt/splunk/etc/passwdファイルからユーザーを削除しましたが、Splunk User InterfaceではユーザーがSAMLユーザーとして表示され続けます。

curl -k -u admin:<password> --request DELETE https://<search_head>:8089/services/authentication/users/<user_to_be_deleted>

要件としては、ローカルユーザーは削除し、SAMLユーザーは残し、欠落している権限をSAMLユーザーに移行することでした。
SAMLユーザーの権限を変更することはできません。Splunk User Interfaceでは権限を選択して保存できますが、その変更は保持されません。

Investigation

Splunkには2種類のユーザーがあります。SAMLユーザーとローカル（Splunk）ユーザーです。
ローカルユーザーはUIで変更可能で、etc/passwords.confに保存・更新されます。
SAMLユーザーはetc/system/local/authentication.confに保存・更新されます。

Resolution

1. ローカルユーザーはUIまたはpasswords.confで更新されます。ローカルユーザーはUIで削除・作成も可能です。

2. SAMLユーザーはSAML IdPで更新・作成されます。

SAMLユーザーの役割や権限を更新する場合は、SAMLのユーザーにグループを追加または削除し、次回のSplunkログイン時に変更が反映されます。

また、グループがSplunkのSettings > Authentication Methods > SAML Settings > Groupsで適切にロールにマッピングされている必要があります。

ユーザーを削除する場合は以下の手順を実施してください。
i) まずSAML IdPでユーザーを削除します。
ii) 次にetc/system/local/authentication.confの関連エントリを削除します。
iii) 以下のコマンドを実行して認証設定をリロードします。

opt/splunk/bin/splunk reload auth

Related Links

※本ページはこちらのページを翻訳したものです。内容に齟齬や不一致がある場合英語版が優先されます。