Manticore Search 27.x: встроенная аутентификация и авторизация для защиты данных

Поиск — это не просто строка ввода на сайте. В современных архитектурах Manticore Search часто выступает как внутренний сервис для обработки данных: приложения отправляют к нему запросы, процессы загрузки обновляют таблицы, панели мониторинга получают данные, а операторы меняют схемы. Когда всё держится только на сетевом доверии, контроль доступа становится уязвимым местом. Именно поэтому в Manticore Search 27.x появились встроенные аутентификация и авторизация. Теперь система может проверять, кто подключается и что ему разрешено делать, через SQL, HTTP/HTTPS, распределённые агенты и репликацию.

Что нового в аутентификации и авторизации Manticore Search

В версии 27.1.5 Manticore Search представила систему управления доступом, которая раньше требовала внешних прокси или плагинов. Теперь администраторы могут создавать пользователей с паролями, назначать роли и права на выполнение конкретных SQL-команд или запросов к определённым таблицам. Поддерживается как базовая HTTP-аутентификация, так и аутентификация через SQL-соединение. Это значит, что все клиенты — от консольных утилит до веб-приложений — идентифицируются и авторизуются централизованно.

Система авторизации построена на привилегиях: каждой роли можно разрешить или запретить операции SELECT, INSERT, CREATE TABLE, ALTER, DROP, SHOW и другие. Привилегии бывают глобальными или привязанными к конкретной таблице. Например, можно дать пользователю право читать данные из поисковой таблицы, но запретить изменение схемы. Также поддерживается управление доступом к распределённым таблицам и удалённым агентам.

Как работает аутентификация и авторизация в Manticore Search?

Управление пользователями и правами осуществляется через SQL-команды, знакомые тем, кто работал с базами данных. Для создания пользователя используется CREATE USER 'username'@'host' IDENTIFIED BY 'password', а для назначения привилегий — GRANT SELECT ON mytable TO 'username'@'host'. Отзыв прав выполняется через REVOKE. Все изменения вступают в силу без перезапуска сервера, что критично для динамических сред.

Поддерживаются как обычные пароли, так и хеширование SHA256. Для HTTP-клиентов используется базовая аутентификация (Basic Auth), а для SQL-соединений — встроенный протокол Manticore. Важно, что аутентификация работает и для распределённых запросов: если у вас кластер из нескольких узлов, каждый узел может проверять учётные данные при получении запроса от другого. Репликация также учитывает права доступа.

Предыстория и контекст

Manticore Search — это форк Sphinx Search, активно развивающийся с 2017 года. Он используется в высоконагруженных проектах для полнотекстового поиска, аналитики и фильтрации данных. Раньше контроль доступа ограничивался сетевыми правилами (bind-адреса, iptables) или требовал настройки внешнего прокси, например Nginx или HAProxy. Это создавало дополнительные точки отказа и усложняло конфигурацию в микросервисной архитектуре.

С ростом популярности Manticore как хранилища данных и аналитического движка (особенно для real-time аналитики) потребность во встроенной безопасности стала критической. Аналогичные функции давно есть в других поисковых системах: Elasticsearch (с X-Pack или Open Distro) и Apache Solr (с авторизацией на основе правил). Manticore догоняет их, но с упором на производительность и минимализм.

Технические детали реализации

Система авторизации основана на ролевой модели (RBAC). Каждому пользователю можно назначить одну или несколько ролей. Роли содержат набор привилегий, которые могут быть глобальными (действуют на все таблицы) или табличными. Список поддерживаемых привилегий включает SELECT, INSERT, CREATE, DROP, ALTER, INDEX, SHOW, JOIN, REPLICATE и другие. Особое внимание уделено безопасности: привилегия SUPER (или ALL) даёт полный доступ, поэтому её следует назначать только администраторам.

Для HTTP-клиентов аутентификация реализована через заголовок Authorization: Basic. Manticore проверяет логин и пароль на каждом запросе. Для SQL-клиентов (например, через MySQL-протокол) аутентификация происходит при установке соединения. В распределённой конфигурации каждый узел может быть настроен на проверку прав при получении запроса от другого узла, что предотвращает несанкционированный доступ даже внутри кластера.

Производительность: по заявлениям разработчиков, накладные расходы на аутентификацию минимальны и не превышают нескольких процентов даже при тысячах запросов в секунду. Это достигается за счёт кэширования сессий и оптимизированного хеширования паролей.

Кого затронет и как

Новая функция в первую очередь полезна администраторам баз данных и DevOps-инженерам, которые управляют Manticore Search в продакшене. Если раньше для изоляции данных разных приложений приходилось запускать отдельные экземпляры Manticore, то теперь можно использовать один экземпляр с разными пользователями и таблицами. Это снижает затраты на инфраструктуру и упрощает управление.

Разработчики, использующие Manticore как поисковый бэкенд, теперь могут безопасно подключаться к нему из публичных сетей, не опасаясь, что злоумышленник выполнит произвольный запрос. Особенно это актуально для SaaS-продуктов, где каждый клиент должен иметь доступ только к своим данным.

В контексте России и СНГ Manticore Search популярен благодаря открытому исходному коду и отсутствию внешних зависимостей. Встроенная аутентификация позволяет использовать его в системах, требующих соответствия 152-ФЗ (о персональных данных) — теперь можно чётко разграничить доступ к данным и аудировать действия пользователей.

Что будет дальше

Разработчики Manticore Search уже анонсировали планы по расширению системы прав: в будущих версиях ожидается поддержка LDAP и внешних провайдеров аутентификации (OAuth, SAML). Также планируется ввести аудит логов — запись всех действий пользователей с временными метками. Это приблизит Manticore к уровню корпоративных баз данных.

Пока что новая функциональность доступна только в версии 27.1.5 и выше. Рекомендуется обновиться всем, кто использует Manticore в многопользовательских средах или при наличии требований к безопасности. В ближайшие месяцы стоит ожидать стабильного релиза с исправлениями возможных багов.

Итог

Встроенные аутентификация и авторизация в Manticore Search — это важный шаг к превращению поискового движка в полноценную систему управления данными. Теперь администраторы могут гибко настраивать права доступа без внешних инструментов, что повышает безопасность и упрощает эксплуатацию. Если вы используете Manticore Search в продакшене, обновление до версии 27.x стоит включить в ближайшие планы.