在本教程中，您将学习如何在 Elasticsearch 节点之间启用 HTTPS 连接。 Elastic 安全功能之一是使用 HTTPS 连接在 Elasticsearch 集群节点之间启用加密。

如果您想了解如何配置和设置 Elasticsearch 集群，请通过以下链接查看我们之前的指南；

配置多节点 Elasticsearch 集群

也可以看看;

启用 Kibana HTTPS 连接

在 Elasticsearch 节点之间启用 HTTPS 连接

集群中的 Elasticsearch 节点通过使用 TCP 端口 9300 的传输协议进行通信。请注意，Elasticsearch 和 REST 客户端（例如 Kibana、Filebeat）之间的 HTTP 连接通过 TCP 端口 9200 进行通信。

假设您已经有一个正在运行的 Elasticsearch 集群，请按照以下步骤启用 Elasticsearch 节点之间的 HTTPS 连接。

检查我们的集群节点；

curl -XGET es-node-01.kifarunix-demo.com:9200/_cat/nodes?v

ip            heap.percent ram.percent cpu load_1m load_5m load_15m node.role  master name
192.168.59.19           29          84   1    1.90    1.31     1.06 cdhilmrstw *      es-node-03
192.168.59.17           48          86   2    1.49    1.46     1.17 cdhilmrstw -      es-node-01
192.168.59.18           22          84   1    1.61    1.35     1.14 cdhilmrstw -      es-node-02

生成 Elasticsearch TLS/SSL 证书

您需要生成 x509 TLS/SSL 证书才能对节点之间的通信进行加密。

您可以使用生成 TLS 证书和密钥 elasticsearch-certutil 工具。

使用 elasticsearch-certutil 生成 elasticsearch 自签名 TLS 证书

使用以下命令生成 Elasticsearch TLS 证书 elasticsearch-certutil 工具：

• 创建目录来存储证书文件；

mkdir /etc/elasticsearch/certs/

• 以 PKCS#12 格式生成 CA

下面的命令生成一个 CA 证书和私钥，并将其存储在上面创建的目录下的名称下 elk-cluster-ca.p12. 该命令还将提示您输入用于保护 CA 文件的密码。 我们只需在此设置中按 ENTER 即可使用空密码.

/usr/share/elasticsearch/bin/elasticsearch-certutil ca --out /etc/elasticsearch/certs/elk-cluster-ca.p12 --days 3650

• 生成 PEM 格式的 CA

如果要以 PEM 格式生成 CA，请运行以下命令。 该命令会生成一个 zip 文件，其中包含 CA 证书和私钥的各个文件。

/usr/share/elasticsearch/bin/elasticsearch-certutil ca --pem --out /etc/elasticsearch/certs/elk-cluster-ca.zip --days 3650

• 生成 PKCS#12 格式的证书：

默认情况下，该命令生成单个输出文件，其中包含：证书、私钥和 CA 证书。 如果您在上面设置了密码，它还会提示输入 CA 密码和证书密码。

/usr/share/elasticsearch/bin/elasticsearch-certutil cert --ca /etc/elasticsearch/certs/elk-cluster-ca.p12 --out /etc/elasticsearch/certs/elk-cluster-cert.p12 --days 3650

• 生成 PEM 格式的证书：

解压 CA 证书和密钥文件；

unzip /etc/elasticsearch/certs/elk-cluster-ca.zip -d /etc/elasticsearch/certs/

接下来，生成 PEM 格式的证书；

/usr/share/elasticsearch/bin/elasticsearch-certutil cert --pem --ca-cert /etc/elasticsearch/certs/ca/ca.crt --ca-key /etc/elasticsearch/certs/ca/ca.key --days 3650 --out /etc/elasticsearch/certs/elk-cluster-cert.zip

解压文件；

unzip /etc/elasticsearch/certs/elk-cluster-cert.zip  -d /etc/elasticsearch/certs/

将证书文件的所有权设置为 弹性搜索 用户。

chown -R elasticsearch: /etc/elasticsearch/certs/

启用 Elasticsearch 安全功能

Elasticsearch 的默认安装使用基本许可证，默认情况下禁用安全功能。

要启用 Elasticsearch 安全功能，请将值设置为 xpack.security.enabled 到 真的 通过在下面运行命令 每个节点 在 Elasticsearch 集群中。

echo "xpack.security.enabled: true" >> /etc/elasticsearch/elasticsearch.yml

同样，您需要启用 Elasticsearch 节点传输 SSL/TLS 设置；

echo "xpack.security.transport.ssl.enabled: true" >> /etc/elasticsearch/elasticsearch.yml

在 Elasticsearch 节点之间启用 HTTPS 连接

完成上述操作后，您需要指定上面生成的证书文件的路径。

如果你使用了 PKCS#12 格式, 在中输入以下几行 elasticsearch.yml Elasticsearch 中每个节点上的文件。

xpack.security.transport.ssl.verification_mode: certificate 
xpack.security.transport.ssl.keystore.path: certs/elk-cluster-cert.p12 
xpack.security.transport.ssl.truststore.path: certs/elk-cluster-cert.p12

如果您使用的是 PEM文件，然后输入下面的行 elasticsearch.yml Elasticsearch 中每个节点上的文件。

xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.key: certs/instance/instance.key
xpack.security.transport.ssl.certificate: certs/instance/instance.crt
xpack.security.transport.ssl.certificate_authorities: certs/ca/ca.crt

将证书密码添加到 Elasticsearch Keystore

如果您使用密码保护您的证书，则需要将密码添加到 Elasticsearch 密钥库 在所有集群节点上。

如果您使用 PKCS#12 格式的证书，请运行以下命令将证书密码添加到密钥库：

/usr/share/elasticsearch/bin/elasticsearch-keystore add xpack.security.transport.ssl.truststore.secure_password

/usr/share/elasticsearch/bin/elasticsearch-keystore add xpack.security.transport.ssl.keystore.secure_password

如果您使用 PEM 格式的证书，请使用以下命令将证书密钥添加到密钥库：

/usr/share/elasticsearch/bin/elasticsearch-keystore add xpack.security.transport.ssl.secure_key_passphrase

重启 Elasticsearch

接下来，重新启动 Elasticsearch 服务以使更改生效；

systemctl restart elasticsearch

为内置弹性用户创建密码

当您启用基本的 Elastic 安全功能时，您需要为内置的 Elasticsearch 用户设置密码，尤其是 松紧带 和 kibana_system 用户使您能够运行 REST 查询。

举个例子，你想通过运行命令查看集群中的节点；

curl -XGET es-node-01.kifarunix-demo.com:9200/_cat/nodes?pretty --cacert /etc/elasticsearch/certs/elk-cluster-ca.p12

样本输出；

{
  "error" : {
    "root_cause" : [
      {
        "type" : "security_exception",
        "reason" : "missing authentication credentials for REST request [/_cat/nodes?pretty]",
        "header" : {
          "WWW-Authenticate" : "Basic realm="security" charset="UTF-8""
        }
      }
    ],
    "type" : "security_exception",
    "reason" : "missing authentication credentials for REST request [/_cat/nodes?pretty]",
    "header" : {
      "WWW-Authenticate" : "Basic realm="security" charset="UTF-8""
    }
  },
  "status" : 401
}

密码可以随机生成，也可以使用手动设置 elasticsearch-setup-passwords 公用事业。

您只能在集群中的任何节点上运行密码创建一次.

为内置弹性用户自动生成随机密码，运行命令；

/usr/share/elasticsearch/bin/elasticsearch-setup-passwords auto

当命令运行时，确认该过程。

样本输出；

Changed password for user apm_system
PASSWORD apm_system = eXvv3x7zs9O7qbYgMvLW

Changed password for user kibana_system
PASSWORD kibana_system = mLhDnalWA8yPpPuE0GFB

Changed password for user kibana
PASSWORD kibana = mLhDnalWA8yPpPuE0GFB

Changed password for user logstash_system
PASSWORD logstash_system = p4nAxkl1MGss7VU18TzT

Changed password for user beats_system
PASSWORD beats_system = L1Xm8xnUM7yKAfBAR3Nx

Changed password for user remote_monitoring_user
PASSWORD remote_monitoring_user = uNHAxTVX0LSXwnX54hzr

Changed password for user elastic
PASSWORD elastic = o8u1zQm93o5Py3huqqt1

Save 将密码放在一个您可以在需要时轻松检索的地方。

在大多数情况下，我们将使用密码 松紧带 和 kibana_system 用户。

• 松紧带 是弹性堆栈中的内置超级用户。

• kibana_system 是 Kibana 用来连接 Elasticsearch 并与之通信的用户。

例如，您现在可以在 curl 命令在上面运行。

curl -XGET es-node-01.kifarunix-demo.com:9200/_cat/nodes?pretty --cacert /etc/elasticsearch/certs/elk-cluster-ca.p12 -u elastic

Enter 上面生成的密码 松紧带 用户。

样本输出；

192.168.59.17 19 75 1 0.23 0.37 0.58 cdhilmrstw - es-node-01
192.168.59.18 53 73 0 0.01 0.26 0.62 cdhilmrstw * es-node-02
192.168.59.19 42 73 0 0.04 0.28 0.62 cdhilmrstw - es-node-03

在 Kibana 中配置安全性

Kibana 向 Elasticsearch 提出了一些内部请求。 由于您启用了 HTTPS Elasticsearch 身份验证，因此 Kibana 发出的此类请求也需要进行身份验证。 证书 kibana_system 在这种情况下可以使用 used 广告，因此您需要将它们添加到 Kibana。

用户凭据可以在 Kibana 配置文件中以纯文本形式定义， kibana.yml 或者可以添加到 Kibana 密钥库。

凭据是在上面生成的。

要在 Kibana 配置文件中添加凭据，请在 kibana.yml.

vim /etc/kibana/kibana.yml

elasticsearch.username: "kibana_system"
elasticsearch.password: "mLhDnalWA8yPpPuE0GFB"

将凭据添加到密钥库而不是将它们放在 /etc/kibana/kibana.yml, 创建 Kibana 密钥库并添加它们，如下所示；

chmod g+w /etc/kibana/

sudo -u kibana /usr/share/kibana/bin/kibana-keystore create

添加用户 kibana_system：

sudo -u kibana /usr/share/kibana/bin/kibana-keystore add elasticsearch.username

添加密码：

sudo -u kibana /usr/share/kibana/bin/kibana-keystore add elasticsearch.password

重启 Kibana 服务

接下来，重启 Kibana 服务；

systemctl restart kibana

您还可以查看我们关于如何启用 Kibana HTTPS 连接的指南。

启用 Kibana HTTPS 连接的快速方法

向 Kibana Web 界面进行身份验证

启用安全功能后，您将需要向有效用户进行身份验证，然后才能访问 Kibana Web 界面。

在此设置中，您可以使用上面创建的 Elastic 超级用户， 松紧带.

这标志着我们关于如何在 Elasticsearch 节点之间启用 HTTPS 连接的指南。

参考

在 Elasticsearch 中配置 TLS

将 Wazuh Manager 与 ELK Stack 集成

使用 ElastAlert 配置 ELK 堆栈警报

使用 ELK Stack 监控 Linux 系统指标