ES(Elasticsearch)SSL集群部署

8.x后ES不在需要自行准备JDK环境，部署的服务包含ES、Kibana、Logstash，使用二进制方式部署，为了提高安全性，加密logstash、kibana及其他客户端到ES间的通信。

1、准备工作

1.1、 es无法使用root用户启动
useradd -m -s /bin/bash esuser
1.2、配置必要的内核参数,否则会启动失败
vm.max_map_count定义了一个进程可以拥有的最大内存映射区域数量。Elasticsearch，特别是其底层搜索引擎 Lucene，广泛使用内存映射文件 (mmap) 来提高索引和搜索数据的性能。如果 vm.max_map_count 的值太低，可能会因为无法创建足够的内存映射而导致 Elasticsearch 启动失败或在运行中出现性能问题

echo "vm.max_map_count = 262144" >> /etc/sysctl.conf 
sysctl -p

1.3、节点之间配置ssh免密（可选）

1.4、配置hosts

172.30.200.11 node-1
172.30.200.12 node-2
172.30.200.30 node-3

2、ES集群部署

2.1、下载安装包

规范安装在/data目录,包的下载直接官网复制链接以后wget

chown -R esuser:esuser /data/elasticsearch-8.14.3
sudo su - esuser

2.2、生成ES的CA并且分发证书

证书不同的扩展名代表不同用途

.p12 文件意味着它同时拥有证书和相应的私钥，这对于需要双向认证的场景（es集群node间通信）
pem和crt都可以存储公钥证书，里面包含了公钥、证书主体信息（如持有者名称、组织等）、颁发者信息（如颁发机构的名称和详情）以及有效期等。同时也用于确保网络通信的安全。
pem同时也可以存储私钥

2.2.1、生成CA证书
指定证书名称并且免密
bin/elasticsearch-certutil ca --out elastic-stack-ca.p12 --pass ""

2.2.2、免密生成ES节点证书

用户ES集群节点之间的传输层安全(Transport Layer Security，TLS)

bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12 --ca-pass "" --out elastic-certificates.p12 --pass ""
当前生成了elastic-certificates.p12和elastic-stack-ca.p12，将ca和证书拷贝到config/certs目录下，启用xpack以后es会从这里读取证书

mkdir config/certs
cp elastic-* config/certs/

2.2.4、免密生成http证书

HTTP 证书在 Elastic Stack 中主要用于保护客户端和服务器之间的通信，特别是 Elasticsearch 和 Kibana 的 REST API(CS架构、无状态、http方法实现增删改查)。这些证书确保数据在传输过程中的加密，同时也验证通信双方的身份，从而防止中间人攻击和数据窃听。

# ip和dns有一定预留，长远考虑还可以想到是否要迁移，给新的CIDR ip也加入进来
./bin/elasticsearch-certutil cert --name http \
  --ca config/certs/elastic-stack-ca.p12 --ca-pass "" \
  --dns node-1,node-2,node-3,node-4,node-5,logstash-1,logstash-2,logstash-3,kibana-1,kibana-2 \
  --ip 172.30.200.11,172.30.200.12,172.30.200.13,172.30.200.14,172.30.200.15,172.30.200.16,172.30.200.17,172.30.200.30 \
  --days 18250 \
  --out config/certs/http.p12 --pass ""

2.2.5、对证书进行检查

# 可以查看到证书名称、证书颁发者、证书Base64内容
openssl pkcs12 -in http.p12 -clcerts -nokeys -info
# 如果要查看更多的SAN信息,需要先提取证书出来
openssl pkcs12 -in http.p12 -clcerts -nokeys -out http_cert.crt -passin pass:
# 查看证书内容
openssl x509 -in http_cert.crt -text -noout
# 找到了有效期
            Not Before: Jul 21 03:38:30 2024 GMT
            Not After : Jul  9 03:38:30 2074 GMT

2.3 配置主节点

初始化集群

# 集群名称，三台集群，要配置相同的集群名称！！！
cluster.name: baga
# 节点名称
node.name: node-1
# 数据目录
path.data: data
# log目录
path.logs: logs
# 修改 network.host 为 0.0.0.0，表示对外开放，如对特定ip开放则改为指定ip
network.host: 0.0.0.0
# 设置对外服务http端口，默认为9200
http.port: 9200
cluster.initial_master_nodes: ["node-1"]
discovery.seed_hosts: ["node-1"]
# 下面的两个配置在安装elasticsearch-head的时候会用到
# 开启跨域访问支持，默认为false
http.cors.enabled: true
# 跨域访问允许的域名地址，(允许所有域名)以上使用正则
http.cors.allow-origin: "*"
# 加密节点间通信-每个节点容器都要添加

xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: certs/elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: certs/elastic-certificates.p12

# Enable encryption for HTTP API client connections
xpack.security.http.ssl.enabled: true
xpack.security.http.ssl.keystore.path: certs/http.p12
xpack.security.http.ssl.truststore.path: certs/http.p12

上面配置如果开始init和seed就写三个集群，集群状态为Yellow，REST请求会503，所以先改为单节点

2.4、启动集群并重置elastic用户密码

# 测试简单点123456
bin/elasticsearch-reset-password  -i -u elastic

2.5、查看集群状态

集群状态没有问题以后就可以让新节点加入了

# 查看节点
curl -k  -u elastic:123456 "https://localhost:9200/_cat/nodes?v"
# 集群健康检查,确认status为green
curl -k  -u elastic:123456 "https://localhost:9200/_cluster/health?pretty"

2.6、拷贝证书到其他节点

我这里直接scp,其他节点也要授权用户

chown -R esuser:esuser /data/elasticsearch-8.14.3
./bin/elasticsearch  -d

日志中也看到新节点的成功加入

[2024-07-21T13:06:29,850][INFO ][o.e.c.s.MasterService    ] [node-1] node-join[{node-3}{HimPVAGmQQW9HLNnaEw1dg}{9pd9bUsNQti9VMryrOpSgw}{node-3}{172.30.200.30}{172.30.200.30:9300}{cdfhilmrstw}{8.14.3}{7000099-8505000} joining], term: 7, version: 96, delta: added {{node-3}{HimPVAGmQQW9HLNnaEw1dg}{9pd9bUsNQti9VMryrOpSgw}{node-3}{172.30.200.30}{172.30.200.30:9300}{cdfhilmrstw}{8.14.3}{7000099-8505000}}
[2024-07-21T13:06:30,337][INFO ][o.e.c.s.ClusterApplierService] [node-1] added {{node-3}{HimPVAGmQQW9HLNnaEw1dg}{9pd9bUsNQti9VMryrOpSgw}{node-3}{172.30.200.30}{172.30.200.30:9300}{cdfhilmrstw}{8.14.3}{7000099-8505000}}, term: 7, version: 96, reason: Publication{term=7, version=96}
[2024-07-21T13:06:30,342][INFO ][o.e.c.c.NodeJoinExecutor ] [node-1] node-join: [{node-3}{HimPVAGmQQW9HLNnaEw1dg}{9pd9bUsNQti9VMryrOpSgw}{node-3}{172.30.200.30}{172.30.200.30:9300}{cdfhilmrstw}{8.14.3}{7000099-8505000}] with reason [joining]

2.7 故障切换

停掉一台后master已经切换到了node-3

2.8、错误(单节点集群)

第三台节点也是scp的主节点es目录，没有删除es的data目录，导致启动后node-3成了一个新的集群
清空data目录后重新启动服务加入集群成功

esuser@elk-1:~$ curl -k -u elastic:123456 "https://node-3:9200/_cat/nodes?v"
ip            heap.percent ram.percent cpu load_1m load_5m load_15m node.role   master name
172.30.200.30           10          98  10    1.01    0.41     0.16 cdfhilmrstw *      node-3
esuser@elk-1:~$ curl -k -u elastic:123456 "https://node-2:9200/_cat/nodes?v"
ip            heap.percent ram.percent cpu load_1m load_5m load_15m node.role   master name
172.30.200.11           13          66   0    0.06    0.20     0.10 cdfhilmrstw *      node-1
172.30.200.12           12          89   1    0.10    0.13     0.08 cdfhilmrstw -      node-2

3、配置Kibana

我这里三台节点，采用node-3作为Kibana节点。

3.1、生成kibana用户密码

bin/elasticsearch-reset-password -u kibana

3.2、kibana配置文件

这版配置文件中ssl配置为none表示不对es证书进行验证

# 服务端口
server.port: 5601
# 服务主机名
# 国际化
server.host: "0.0.0.0"
i18n.locale: "zh-CN"
# ES服务器主机地址
elasticsearch.hosts: ["https://node-1:9200","https://node-2:9200","https://node-3:9200"]
# 访问ES服务器的账号 密码
elasticsearch.username: "kibana"
elasticsearch.password: "=fdguzIt7amKm7MJKOum"

#elasticsearch.ssl.certificateAuthorities: [ "config/elasticsearch-ca.pem" ]
elasticsearch.ssl.verificationMode: none

3.3、启动测试kibana和es联通性

bin/kibana
登录http://172.30.200.30:5601创建索引baga
过滤目标索引
curl -s -u elastic:123456 -k "https://node-1:9200/_cat/indices?v" | grep baga

3.4、Kibana配置加密

elasticsearch.ssl.verificationMode 设置定义了 Kibana 如何验证 Elasticsearch 的 SSL/TLS 证书。常见的值有 none（不推荐，因为这会禁用验证），certificate（验证证书，但不验证主机名），或 full（验证证书和主机名）
我们改为full模式

3.4.1、生成kibana所需ca

Kibana 使用 CA 证书来验证连接到的 Elasticsearch 节点的证书。这是确保连接的安全性和信任性的关键一步。通过这种方式，Kibana 能够确认它连接的 Elasticsearch 节点确实是由可信的证书颁发机构（即你的 CA）颁发的证书

full模式会验证主机名，配置hosts
172.30.200.30 node-3 kibana-1 logstash-1
# 创建证书目录
mkdir config/certs
# kibana使用的ca证书格式必须为pem,我们p12格式的不好使
# 分离出证书的公钥(不对证书和私钥进行导出)
openssl pkcs12 -in elastic-stack-ca.p12 -clcerts -nokeys -out ca-cert.pem
  -clcerts 提取证书，不包括 CA 证书。
  -nokeys 确保不会尝试导出私钥。
  -out ca-cert.pem 指定输出文件。

# 查看ca公钥
openssl x509  -in  config/certs/ca-cert.pem  -text -noout
... Subject Public Key Info ...

3.4.2、生成kibana自身证书

/data/elasticsearch-8.14.3/bin/elasticsearch-certutil csr -name kibana -dns kibana-1
# 生成zip包后解压
# 签发证书
openssl x509 -req -in kibana.csr -signkey kibana.key -out kibana.crt
# 将证书拷贝到config/certs目录下

3.4.2、更新配置文件
这里需要注意当elasticsearch.ssl.verificationMode 为none表示不验证ES身份，不需要指定证书
server.ssl是kibana被客户端访问提供ssl协议，和es无关。如果不想https访问这里可以不配置

# 服务端口
server.port: 5601
# 服务主机名
# 国际化
server.host: "0.0.0.0"
i18n.locale: "zh-CN"
# ES服务器主机地址
elasticsearch.hosts: ["https://node-1:9200","https://node-2:9200","https://node-3:9200"]
# 访问ES服务器的账号 密码
elasticsearch.username: "kibana"
elasticsearch.password: "=fdguzIt7amKm7MJKOum"

elasticsearch.ssl.certificateAuthorities: [ "config/certs/ca-cert.pem" ]
elasticsearch.ssl.verificationMode: full
# 启用kibana的ssl，也就是说kibana之后需要使用https访问
server.ssl.enabled: true
server.ssl.certificate: config/certs/kibana.crt
server.ssl.key: config/certs/kibana.key

3.4.3 启动kibana
可以对比下ca的公钥结构是否正确

至此ES和Kibana的SSL通信建立完毕

4、Logstash部署

4.1、 logstash直接使用root用户启动，logstash本质和kibana一样，作为ES的客户端，都需要ca证书来验证ES

mkdir /data/logstash-8.14.3/config/certs
# 直接拷贝kibana使用过的ca公钥
cp /data/kibana-8.14.3/config/certs/ca-cert.pem config/certs/

4.2、logstash写入测试

为了方便直接将屏幕标准输出写到ES

# 输入配置: 从标准输入读取数据
input {
  stdin {}
}

# 输出配置: 发送数据到 Elasticsearch
output {
  elasticsearch {
    hosts => ["https://node-1:9200"]  # 修改为你的 Elasticsearch 主机地址
    index => "dadadihao-%{+YYYY.MM.dd}"   # 设置索引名称，根据日期动态生成
    user => "elastic"                # Elasticsearch 用户名
    password => "123456"      # Elasticsearch 密码
    ssl => true                      # 启用 SSL
    cacert => "config/certs/ca-cert.pem"  # 指定 CA 证书路径
  }
}

4.3、确认索引写入

curl -s -u elastic:123456 -k "https://node-1:9200/_cat/indices?v" | grep dadadi