访问自管理环境中的集群

API 密钥身份验证使本地集群能够通过跨集群 API 密钥与远程集群进行身份验证。 API 密钥需要由远程集群的管理员创建。本地集群配置为在每次向远程集群发出请求时提供此 API 密钥。远程集群验证 API 密钥并根据 API 密钥的权限授予访问权限。

来自本地集群的所有跨集群请求都受到 API 密钥权限的约束，而与与请求关联的本地用户无关。例如，如果 API 密钥仅允许对远程集群上的 my-index 进行读取访问，即使本地集群的超级用户也会受到此约束的限制。此机制使远程集群的管理员能够完全控制谁可以通过跨集群搜索和/或跨集群复制访问哪些数据。远程集群的管理员可以确信，除了明确分配给 API 密钥的权限之外，不可能进行任何访问。

在本地集群端，并非每个本地用户都需要访问 API 密钥允许的每一部分数据。本地集群的管理员可以进一步配置对本地用户的其他权限约束，以便每个用户只能访问必要的远程数据。请注意，只能进一步减少 API 密钥允许的单个本地用户的权限。无法增加权限以超出 API 密钥允许的范围。

如果您遇到任何问题，请参阅问题排查。

• 本地和远程部署必须在 Elastic Stack 8.14 或更高版本上。

• 在您将用作远程部署的部署上，使用Elasticsearch API或Kibana来创建跨集群 API 密钥。将其配置为具有对您要用于跨集群搜索或跨集群复制的索引的访问权限。
• 将编码密钥（响应中的 encoded）复制到安全位置。您将在下一步中需要它。

先前创建的 API 密钥将由本地部署使用，以便使用相应的权限集向远程部署进行身份验证。为此，您需要将 API 密钥添加到本地部署的密钥库中。

要遵循的步骤取决于远程环境的 Elasticsearch HTTPS 服务器、代理或负载平衡基础设施的证书颁发机构 (CA) 是公共的还是私有的。

可以配置部署以信任任何环境中的所有或特定部署

1. 从安全性菜单中，选择远程连接 > 添加受信任环境，然后选择自管理，然后单击下一步。

2. 选择证书作为身份验证机制，然后单击下一步。

3. 上传自管理环境的证书颁发机构的公共证书（用于签署所有集群证书的证书）。证书需要采用 PEM 格式，并且不应包含私钥。如果您只有 p12 格式的密钥，则可以像这样创建必要的文件：openssl pkcs12 -in elastic-stack-ca.p12 -out newfile.crt.pem -clcerts -nokeys

4. 选择要信任的集群。这里有两种选择，具体取决于自管理集群中节点提供的证书的主题名称

   • 遵循 Elastic Cloud 模式。在 Elastic Cloud 中，所有 Elasticsearch 节点的证书都遵循以下约定：CN = {{node_id}}.node.{{cluster_id}}.cluster.{{scope_id}}。如果您在自管理环境中遵循相同的约定，则选择此选项，您将能够选择要信任的所有或特定集群。

   • 如果您的集群不遵循上述节点证书主题名称的约定，您仍然可以指定应由该部署信任的每个节点的节点名称。（请记住，遵循此约定将简化此集群的管理，否则每次自管理集群的拓扑发生变化时，以及信任限制文件都需要更新此配置。因此，建议迁移您的集群证书以遵循先前的约定）。

     注意

     在没有指定 otherName 值的集群中，信任管理将无法正常工作，就像开箱即用的Elasticsearch 安装中的默认情况一样。要让 Elasticsearch certutil 生成具有 otherName 属性的新证书，请使用带有 cn 属性的文件输入，如下例所示。

5. 为受信任的环境提供名称。该名称将显示在部署的安全性页面的信任摘要中。

6. 选择创建信任以完成配置。

7. 配置自管理集群以信任此部署，以便两个部署都配置为相互信任

   • 下载用于签署您的部署节点证书的证书颁发机构（可以在您的部署的安全性页面中找到）
   • 信任此 CA，可以使用 设置 xpack.security.transport.ssl.certificate_authorities 在 elasticsearch.yml 中进行配置，或者 将其添加到信任存储。

8. 使用 Elasticsearch certutil 生成带有 otherName 属性的证书。创建一个名为 instances.yaml 的文件，其中包含本地集群中所有节点的详细信息，如下所示。dns 和 ip 设置是可选的，但 cn 对于下一步中使用 trust_restrictions 路径设置是必需的。接下来，运行 ./bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12 -in instances.yaml 以一次性为所有节点创建新证书。然后，您可以将生成的文件复制到每个节点。

   instances:
     - name: "node1"
       dns: ["node1.mydomain.com"]
       ip: ["192.168.1.1"]
       cn: ["node1.node.1234567abcd.cluster.myscope.account"]
     - name: "node2"
       dns: ["node2.mydomain.com"]
       ip: ["192.168.1.2"]
       cn: ["node2.node.1234567abcd.cluster.myscope.account"]
   

9. 限制受信任集群，仅允许您的自管理集群应信任的集群。

   • 您的 Elastic Cloud Enterprise 环境中的所有集群都由同一证书颁发机构签名。 因此，添加此 CA 将使自管理集群信任您的 ECE 环境中的所有集群。 应使用 elasticsearch.yml 中的 xpack.security.transport.ssl.trust_restrictions.path 设置对此进行限制，该设置指向一个文件，该文件根据其 otherName 属性限制要信任的证书。
   • 例如，以下文件将信任

   trust.subject_name:
   - *.node.aaaabbbbaaaabbbb.cluster.1053523734.account
   - *.node.xxxxyyyyxxxxyyyy.cluster.1053523734.account
   - *.node.*.cluster.83988631.account
   - node*.example.com
   

   1. 在 ECE 环境中，具有集群 ID aaaabbbbaaaabbbb 和 xxxxyyyyxxxxyyyy 的两个特定集群，环境 ID 为 1053523734
   2. 来自环境 ID 为 83988631 的 ECE 环境的任何集群
   3. 来自其自身集群的节点（其证书遵循不同的约定：CN = node1.example.com、CN = node2.example.com 和 CN = node3.example.com）

{
  "trust":{
    "accounts":[
      {
         "account_id":"ec38dd0aa45f4a69909ca5c81c27138a",
         "trust_all":true
      }
    ],
    "direct": [
      {
        "type" : "generic",
        "name" : "My Self-managed environment",
        "additional_node_names" : ["node1.example.com", "node2.example.com", "node3.example.com",],
        "certificates" : [
            {
                "pem" : "-----BEGIN CERTIFICATE-----\nMIIDTzCCA...H0=\n-----END CERTIFICATE-----"
            }
         ],
         "trust_all":false
       }
    ]
  }
}