ElasticSearch7.1安全配置－龍之家族

引用網址：https://www.elastic.co/cn/blog/getting-started-with-elasticsearch-security

从 Elastic Stack 6.8 和 7.1 开始，我们在默认分发包中免费提供多项安全功能，例如 TLS 加密通信、基于角色的访问控制 (RBAC)，等等。在此篇博文中，我们将会讲解如何启用这些功能来确保您的 Elasticsearch 集群的安全。

为了给您提供一个实际示例来演示如何确保 Elastic Stack 实施项目的安全，我们将会在本地机器上创建一个两节点 Elasticsearch 集群并进行安全设置。要实现这一点，我们首先需要在两个节点之间配置 TLS 通信。然后，我们会为 Kibana 实例（用于分析并可视化集群中的数据）启用安全功能。再然后，我们会在 Kibana 中配置基于角色的访问控制，从而确保用户只能看到他们获授权能够看到的内容。

尽管关于安全功能的运行过程还有很多内容，但现在我们仅会介绍入门所需知识。阅读完本篇博文后，我们推荐您查看 Elastic Stack 安全功能的相关文档，其中包含能帮助到您的实用示例。快速提示：我们将会在本地集群完成所有这些操作，这是因为尽管这些功能从 6.8 和 7.1 开始默认提供，但这些功能在我们的 Elasticsearch Service 中一直都是标配。

安装 Elasticsearch 和 Kibana

在这个示例中，我将会在运行 Linux 的笔记本电脑上进行安装。请根据您的具体环境相应调整下列步骤。

步骤 1：下载 Elasticsearch 和 Kibana

您需要做的第一件事是下载 Elasticsearch 和 Kibana 6.8+ 或 7.1+ 版本的默认分发包。由于我们已将安全功能添加到 7.1 或 6.8 的默认分发包中，所以如果使用的是旧版本，您需要进行升级。

第 2 步：提取 Elasticsearch 和 Kibana

在这个例子中，我已下载 elasticsearch-7.1.0-linux-x86_64.tar.gz 和 kibana-7.1.0-linux-x86_64.tar.gz。下载完毕之后，您需要将其中的内容提取出来。

第 3 步：创建两个 Elasticsearch 节点

如要创建一个两节点集群，您需要创建两个 Elasticsearch 目录副本，其中一个名为 master（主节点），另一个名为 node（节点）。完成这一步之后，您将会看到下列文件和文件夹：

elasticsearch-7.1.0                      elasticsearch-7.1.0-node
elasticsearch-7.1.0-linux-x86_64.tar.gz  kibana-7.1.0-linux-x86_64
elasticsearch-7.1.0-master               kibana-7.1.0-linux-x86_64.tar.gz

配置 TLS 和身份验证

我们要做的第一件事是生成证书，通过这些证书便能允许节点安全地通信。您可以使用企业 CA 来完成这一步骤，但是在此演示中，我们将会使用一个名为 elasticsearch-certutil 的命令，通过这一命令，您无需担心证书通常带来的任何困扰，便能完成这一步。

步骤 1：在 Elasticsearch 主节点上配置 TLS

您可以使用 cd 命令更改至 master 目录，然后运行下列命令：

bin/elasticsearch-certutil cert -out config/elastic-certificates.p12 -pass ""

接下来，使用您最常用的文本编辑器打开文件 config/elasticsearch.yaml。将下列代码行粘贴到文件末尾。

xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: elastic-certificates.p12

保存文件，现在我们便可以启动主节点了。运行命令 bin/elasticsearch。这一可执行文件必须保持运行，现在可以将此终端放在一边。

第 2 步：Elasticsearch 集群密码

一旦主节点开始运行，便可以为集群设置密码了。在新终端中，我们必须通过 cd 命令更改至主节点目录。然后我们运行命令 bin/elasticsearch-setup-passwords auto。这将会为不同的内部堆栈用户生成随机密码。或者，您也可以跳过 auto 参数，改为通过 interactive 参数手动定义密码。请记录这些密码，我们很快就会再次用到这些密码。

第 3 步：在 Elasticsearch 节点上配置 TLS

现在，打开一个新终端，并使用 cd 命令更改至我们的节点目录。在我的例子中，其被命名为 elasticsearch-7.1.0-node。

我们最简单的做法是将主节点的配置目录完全复制到节点的配置目录中。

cp ../elasticsearch-7.1.0-master/config/* config/

您还应该将 node.master: false 配置选项添加到 config/elasticsearch.yml 文件中。我在这里不会详细解释，但是您可以在我们的集群文档中找到更多详细信息。除了简单地复制整个配置文件之外，还有一个备选方法，那就是只复制证书文件，然后将 xpack.security.* 键设置为与主节点一模一样。

然后我们通过运行 bin/elasticsearch 来启动节点。我们将看到其加入集群。而且，如果看一下主节点的终端窗口，我们会看到有一条消息显示已有一个节点加入集群。现在，我们的两节点集群便开始运行了。

第 4 步：在 Kibana 中实现安全性

我们要做的最后一件事是配置 Kibana。再次打开另一个终端窗口（我保证，这是最后一次了）。我们需要为 Kibana 用户添加密码。我们可以从之前 setup-passwords 命令的输出内容中找到密码。

我们使用 cd 命令更改至 Kibana 目录，然后使用您的文本编辑器打开 config/kibana.yml 文件。找到类似下面的代码行

#elasticsearch.username: "user"
#elasticsearch.password: "pass"

对 username 和 password 字段取消注释，方法是删除代码行起始部分的 # 符号。将 "user" 更改为 "kibana"，然后将 "pass" 更改为 setup-passwords 命令告诉我们的任何 Kibana 密码。保存文件，然后我们便可通过运行 bin/kibana 启动 Kibana 了。