› ›

自动启用安全功能启动 Elastic Stack

首次启动 Elasticsearch 时，会自动进行以下安全配置

传输层和 HTTP 层的 TLS 证书和密钥会自动生成。
TLS 配置设置会写入 elasticsearch.yml。
为 elastic 用户生成密码。
为 Kibana 生成注册令牌。

然后，您可以启动 Kibana 并输入注册令牌，该令牌有效期为 30 分钟。此令牌会自动应用 Elasticsearch 集群中的安全设置，使用内置的 kibana 服务帐户向 Elasticsearch 进行身份验证，并将安全配置写入 kibana.yml。

在某些情况下，由于节点启动过程检测到该节点已是集群的一部分，或者已经配置或显式禁用了安全性，因此无法自动配置安全性。

先决条件

编辑

下载并解压缩适用于您环境的 elasticsearch 程序包分发版本。
下载并解压缩适用于您环境的 kibana 程序包分发版本。

启用安全功能启动 Elasticsearch 并注册 Kibana

编辑

从安装目录中，启动 Elasticsearch。
```
bin/elasticsearch
```
该命令会输出 elastic 用户密码和 Kibana 的注册令牌。
复制生成的 elastic 密码和注册令牌。这些凭据仅在您首次启动 Elasticsearch 时显示。

如果需要重置 elastic 用户或其他内置用户的密码，请运行 elasticsearch-reset-password 工具。要为 Kibana 或 Elasticsearch 节点生成新的注册令牌，请运行 elasticsearch-create-enrollment-token 工具。这些工具在 Elasticsearch 的 bin 目录中提供。

我们建议将 elastic 密码作为环境变量存储在您的 Shell 中。示例：
```
export ELASTIC_PASSWORD="your_password"
```
（可选）打开一个新的终端，并通过进行身份验证调用来验证是否可以连接到 Elasticsearch 集群。
```
curl --cacert config/certs/http_ca.crt -u elastic:$ELASTIC_PASSWORD https://127.0.0.1:9200
```
从安装 Kibana 的目录中，启动 Kibana。
```
bin/kibana
```
使用交互模式或分离模式注册 Kibana。
- 交互模式（浏览器）
  1. 在终端中，单击生成的链接以在浏览器中打开 Kibana。
  2. 在浏览器中，粘贴您复制的注册令牌，然后单击按钮以将您的 Kibana 实例与 Elasticsearch 连接。
    
    如果 Kibana 检测到 Elasticsearch 的现有凭据（elasticsearch.username 和 elasticsearch.password）或 elasticsearch.hosts 的现有 URL，则 Kibana 不会进入交互模式。
- 分离模式（非浏览器）
  
  运行 kibana-setup 工具，并使用 --enrollment-token 参数传递生成的注册令牌。
```
bin/kibana-setup --enrollment-token <enrollment-token>
```

在集群中注册其他节点

编辑

首次启动 Elasticsearch 时，安全自动配置过程会将 HTTP 层绑定到 0.0.0.0，但仅将传输层绑定到 localhost。此预期行为可确保您可以在默认情况下启用安全性的情况下启动单节点集群，而无需任何其他配置。

在注册新节点之前，通常需要在生产集群中执行其他操作，例如绑定到 localhost 以外的地址或满足启动检查。在此期间，自动生成的注册令牌可能会过期，这就是为什么不自动生成注册令牌的原因。

此外，只有同一主机上的节点才能在没有其他配置的情况下加入集群。如果您希望来自另一主机的节点加入集群，则需要将 transport.host 设置为支持的值（例如取消注释 0.0.0.0 的建议值），或绑定到其他主机可以访问的接口的 IP 地址。有关更多信息，请参阅传输设置。

要将新节点注册到您的集群中，请使用集群中任何现有节点上的 elasticsearch-create-enrollment-token 工具创建注册令牌。然后，可以使用 --enrollment-token 参数启动新节点，使其加入现有集群。

在运行 Elasticsearch 的单独终端中，导航到安装 Elasticsearch 的目录，然后运行elasticsearch-create-enrollment-token 工具，为您的新节点生成注册令牌。
```
bin/elasticsearch-create-enrollment-token -s node
```
复制注册令牌，您将使用该令牌将新节点注册到 Elasticsearch 集群中。
从新节点的安装目录中，启动 Elasticsearch 并使用 --enrollment-token 参数传递注册令牌。
```
bin/elasticsearch --enrollment-token <enrollment-token>
```
Elasticsearch 会在以下目录中自动生成证书和密钥
```
config/certs
```
对要注册的任何新节点重复上一步。

将客户端连接到 Elasticsearch

编辑

首次启动 Elasticsearch 时，会自动为 HTTP 层配置 TLS。CA 证书会生成并存储在磁盘上的以下位置：

/etc/elasticsearch/certs/http_ca.crt

此证书的十六进制编码 SHA-256 指纹也会输出到终端。任何连接到 Elasticsearch 的客户端（例如Elasticsearch 客户端、Beats、独立的 Elastic Agent 和 Logstash）都必须验证它们是否信任 Elasticsearch 用于 HTTPS 的证书。Fleet Server 和 Fleet 管理的 Elastic Agent 会自动配置为信任 CA 证书。其他客户端可以使用 CA 证书的指纹或 CA 证书本身来建立信任关系。

如果自动配置过程已完成，您仍然可以获取安全证书的指纹。您还可以将 CA 证书复制到您的计算机，并配置您的客户端以使用它。

使用 CA 指纹

编辑

复制 Elasticsearch 启动时输出到终端的指纹值，并配置您的客户端以使用此指纹在连接到 Elasticsearch 时建立信任关系。

如果自动配置过程已完成，您仍然可以通过运行以下命令获取安全证书的指纹。该路径是指 HTTP 层的自动生成的 CA 证书。

openssl x509 -fingerprint -sha256 -in config/certs/http_ca.crt

该命令返回安全证书，包括指纹。 issuer 应该是 Elasticsearch security auto-configuration HTTP CA。

issuer= /CN=Elasticsearch security auto-configuration HTTP CA
SHA256 Fingerprint=<fingerprint>

使用 CA 证书

编辑

如果您的库不支持验证指纹的方法，则会在每个 Elasticsearch 节点上的以下目录中创建自动生成的 CA 证书

/etc/elasticsearch/certs/http_ca.crt

将 http_ca.crt 文件复制到您的计算机，并配置您的客户端以使用此证书在连接到 Elasticsearch 时建立信任关系。

下一步是什么？

编辑

恭喜！您已成功启动了启用安全功能的 Elastic Stack。Elasticsearch 和 Kibana 在 HTTP 层上使用 TLS 进行了保护，并且节点间通信已加密。如果要为 Web 流量启用 HTTPS，可以加密浏览器和 Kibana 之间的流量。

安全证书和密钥

编辑

安装 Elasticsearch 时，会在 Elasticsearch 配置目录中生成以下证书和密钥，这些证书和密钥用于将 Kibana 实例连接到安全的 Elasticsearch 集群并加密节点间通信。此处列出这些文件以供参考。

http_ca.crt: 用于为此 Elasticsearch 集群的 HTTP 层签名证书的 CA 证书。
http.p12: 包含此节点 HTTP 层的密钥和证书的密钥库。
transport.p12: 包含集群中所有节点传输层的密钥和证书的密钥库。

http.p12 和 transport.p12 是受密码保护的 PKCS#12 密钥库。Elasticsearch 将这些密钥库的密码存储为安全设置。要检索密码以便您可以检查或更改密钥库内容，请使用 bin/elasticsearch-keystore 工具。

使用以下命令检索 http.p12 的密码

bin/elasticsearch-keystore show xpack.security.http.ssl.keystore.secure_password

使用以下命令检索 transport.p12 的密码

bin/elasticsearch-keystore show xpack.security.transport.ssl.keystore.secure_password

此外，当您使用注册令牌将 Kibana 连接到安全的 Elasticsearch 集群时，HTTP 层 CA 证书会从 Elasticsearch 中检索并存储在 Kibana 的 /data 目录中。此文件在 Kibana 和 Elasticsearch HTTP 层的证书颁发机构 (CA) 之间建立信任关系。

跳过安全自动配置的情况

编辑

首次启动 Elasticsearch 时，节点启动过程会尝试为您自动配置安全性。该过程会运行一些检查以确定

这是否是节点第一次启动
是否已配置安全性
启动过程是否可以修改节点配置

如果任何这些检查失败，则很好地表明您手动配置了安全性，或者不希望自动配置安全性。在这些情况下，节点将使用现有配置正常启动。

如果将 Elasticsearch 输出重定向到文件，则会跳过安全自动配置。自动配置的凭据只能在首次启动 Elasticsearch 时在终端上查看。如果需要将输出重定向到文件，请首次启动 Elasticsearch 时不进行重定向，并在所有后续启动时使用重定向。

检测到现有环境

编辑

如果某些目录已经存在，则强烈表明该节点之前已启动过。同样，如果某些文件不存在，或者我们无法读取或写入特定文件或目录，那么我们可能不是以安装 Elasticsearch 的用户或管理员施加限制的用户身份运行。如果以下任何环境检查为真，则不会自动配置安全性。

Elasticsearch 的 /data 目录存在且不为空: 此目录的存在强烈表明该节点之前已启动过，并且可能已经是集群的一部分。
elasticsearch.yml 文件不存在（或不可读），或者 elasticsearch.keystore 不可读: 如果这两个文件都不可读，我们无法确定是否已启用 Elasticsearch 安全功能。此状态还可能表明节点启动过程不是以具有足够权限修改节点配置的用户身份运行。
Elasticsearch 配置目录不可写: 此状态可能表明管理员将此目录设为只读，或者启动 Elasticsearch 的用户不是安装 Elasticsearch 的用户。

检测到现有设置

编辑

以下设置与安全自动配置不兼容。如果存在任何这些设置，则节点启动过程将跳过自动配置安全，并且节点将正常启动。

node.roles 设置为节点不能被选为 master 的值，或者如果节点不能保存数据
xpack.security.autoconfiguration.enabled 设置为 false
xpack.security.enabled 具有已设置的值
任何 xpack.security.transport.ssl.* 或 xpack.security.http.ssl.* 设置在 elasticsearch.yml 配置文件或 elasticsearch.keystore 中设置了值
任何 discovery.type, discovery.seed_hosts 或 cluster.initial_master_nodes 发现和集群形成设置都已设置值

例外情况是当 discovery.type 设置为 single-node 时，或者当 cluster.initial_master_nodes 存在但仅包含当前节点的名称时。

« Elasticsearch 安全原则手动配置安全 »