› ›

自动启用安全性的情况下启动 Elastic Stack

自动启用安全性的情况下启动 Elastic Stack编辑

首次启动 Elasticsearch 时，将自动进行以下安全配置

为传输层和 HTTP 层生成 TLS 的证书和密钥。
TLS 配置设置写入到 elasticsearch.yml。
为 elastic 用户生成密码。
为 Kibana 生成注册令牌。

然后，您可以启动 Kibana 并输入注册令牌，该令牌在 30 分钟内有效。此令牌会自动应用 Elasticsearch 集群中的安全设置，使用内置的 kibana 服务帐户向 Elasticsearch 进行身份验证，并将安全配置写入 kibana.yml。

在某些情况下，无法自动配置安全性，因为节点启动过程检测到该节点已经是集群的一部分，或者安全性已配置或已显式禁用。

先决条件编辑

下载并解压缩适用于您的环境的 elasticsearch 软件包发行版。
下载并解压缩适用于您的环境的 kibana 软件包发行版。

启动 Elasticsearch 并注册启用了安全性的 Kibana编辑

从安装目录启动 Elasticsearch。
```
bin/elasticsearch
```
该命令会打印 elastic 用户密码和 Kibana 的注册令牌。
复制生成的 elastic 密码和注册令牌。这些凭据仅在您首次启动 Elasticsearch 时显示。

如果需要重置 elastic 用户或其他内置用户的密码，请运行 elasticsearch-reset-password 工具。要为 Kibana 或 Elasticsearch 节点生成新的注册令牌，请运行 elasticsearch-create-enrollment-token 工具。这些工具位于 Elasticsearch bin 目录中。

我们建议将 elastic 密码作为环境变量存储在您的 shell 中。例如
```
export ELASTIC_PASSWORD="your_password"
```
（可选）打开一个新的终端，并通过发出经过身份验证的调用来验证您是否可以连接到 Elasticsearch 集群。
```
curl --cacert config/certs/http_ca.crt -u elastic:$ELASTIC_PASSWORD https://127.0.0.1:9200
```
从安装 Kibana 的目录启动 Kibana。
```
bin/kibana
```
使用交互模式或分离模式注册 Kibana。
- 交互模式（浏览器）
  1. 在您的终端中，单击生成的链接以在浏览器中打开 Kibana。
  2. 在浏览器中，粘贴您复制的注册令牌，然后单击按钮以将您的 Kibana 实例与 Elasticsearch 连接。
    
    如果 Kibana 检测到 Elasticsearch 的现有凭据（elasticsearch.username 和 elasticsearch.password）或 elasticsearch.hosts 的现有 URL，则不会进入交互模式。
- 分离模式（非浏览器）
  
  运行 kibana-setup 工具，并使用 --enrollment-token 参数传递生成的注册令牌。
```
bin/kibana-setup --enrollment-token <enrollment-token>
```

在集群中注册其他节点编辑

当 Elasticsearch 首次启动时，安全自动配置过程会将 HTTP 层绑定到 0.0.0.0，但仅将传输层绑定到本地主机。此预期行为可确保您默认情况下启用安全性的情况下启动单节点集群，而无需任何其他配置。

在注册新节点之前，通常需要在生产集群中执行其他操作，例如绑定到 localhost 以外的地址或满足引导检查。在此期间，自动生成的注册令牌可能会过期，这就是不自动生成注册令牌的原因。

此外，只有同一主机上的节点才能加入集群，而无需其他配置。如果您希望来自另一台主机的节点加入您的集群，则需要将 transport.host 设置为支持的值（例如取消注释建议的 0.0.0.0 值），或绑定到其他主机可以访问的接口的 IP 地址。有关更多信息，请参阅传输设置。

要在集群中注册新节点，请使用集群中任何现有节点上的 elasticsearch-create-enrollment-token 工具创建注册令牌。然后，您可以使用 --enrollment-token 参数启动新节点，以便其加入现有集群。

在 Elasticsearch 运行位置以外的单独终端中，导航到安装 Elasticsearch 的目录，然后运行 elasticsearch-create-enrollment-token 工具，为您的新节点生成注册令牌。
```
bin/elasticsearch-create-enrollment-token -s node
```
复制注册令牌，您将使用它来注册 Elasticsearch 集群的新节点。
从新节点的安装目录启动 Elasticsearch，并使用 --enrollment-token 参数传递注册令牌。
```
bin/elasticsearch --enrollment-token <enrollment-token>
```
Elasticsearch 会在以下目录中自动生成证书和密钥
```
config/certs
```
对要注册的任何新节点重复上述步骤。

将客户端连接到 Elasticsearch编辑

首次启动 Elasticsearch 时，会自动为 HTTP 层配置 TLS。会在磁盘上的以下位置生成并存储 CA 证书

/etc/elasticsearch/certs/http_ca.crt

此证书的十六进制编码 SHA-256 指纹也会输出到终端。任何连接到 Elasticsearch 的客户端（例如Elasticsearch 客户端、Beats、独立 Elastic 代理和 Logstash）都必须验证它们信任 Elasticsearch 用于 HTTPS 的证书。Fleet Server 和 Fleet 管理的 Elastic 代理会自动配置为信任 CA 证书。其他客户端可以通过使用 CA 证书的指纹或 CA 证书本身来建立信任。

如果自动配置过程已完成，您仍然可以获取安全证书的指纹。您还可以将 CA 证书复制到您的计算机，并将您的客户端配置为使用它。

使用 CA 指纹编辑

复制 Elasticsearch 启动时输出到终端的指纹值，并将您的客户端配置为使用此指纹在连接到 Elasticsearch 时建立信任。

如果自动配置过程已完成，您仍然可以通过运行以下命令获取安全证书的指纹。该路径指向 HTTP 层的自动生成的 CA 证书。

openssl x509 -fingerprint -sha256 -in config/certs/http_ca.crt

该命令返回安全证书，包括指纹。issuer 应为 Elasticsearch security auto-configuration HTTP CA。

issuer= /CN=Elasticsearch security auto-configuration HTTP CA
SHA256 Fingerprint=<fingerprint>

使用 CA 证书编辑

如果您的库不支持验证指纹的方法，则会在每个 Elasticsearch 节点的以下目录中创建自动生成的 CA 证书

/etc/elasticsearch/certs/http_ca.crt

将 http_ca.crt 文件复制到您的计算机，并将您的客户端配置为使用此证书在连接到 Elasticsearch 时建立信任。

后续步骤编辑

恭喜！您已成功启动启用了安全性的 Elastic Stack。Elasticsearch 和 Kibana 在 HTTP 层使用 TLS 进行保护，并且节点间通信已加密。如果要为 Web 流量启用 HTTPS，您可以加密浏览器和 Kibana 之间的流量。

安全证书和密钥编辑

安装 Elasticsearch 时，会在 Elasticsearch 配置目录中生成以下证书和密钥，这些证书和密钥用于将 Kibana 实例连接到受保护的 Elasticsearch 集群并加密节点间通信。此处列出这些文件以供参考。

http_ca.crt: 用于为此 Elasticsearch 集群的 HTTP 层的证书签名的 CA 证书。
http.p12: 包含此节点的 HTTP 层的密钥和证书的密钥库。
transport.p12: 包含集群中所有节点的传输层的密钥和证书的密钥库。

http.p12 和 transport.p12 是受密码保护的 PKCS#12 密钥库。Elasticsearch 将这些密钥库的密码存储为安全设置。要检索密码以便您可以检查或更改密钥库内容，请使用 bin/elasticsearch-keystore 工具。

使用以下命令检索 http.p12 的密码

bin/elasticsearch-keystore show xpack.security.http.ssl.keystore.secure_password

使用以下命令检索 transport.p12 的密码

bin/elasticsearch-keystore show xpack.security.transport.ssl.keystore.secure_password

此外，当您使用注册令牌将 Kibana 连接到受保护的 Elasticsearch 集群时，会从 Elasticsearch 检索 HTTP 层 CA 证书并将其存储在 Kibana /data 目录中。此文件在 Kibana 和 HTTP 层的 Elasticsearch 证书颁发机构 (CA) 之间建立信任。

跳过安全自动配置的情况编辑

首次启动 Elasticsearch 时，节点启动过程会尝试自动为您配置安全性。该过程会运行一些检查来确定

这是否是该节点首次启动
是否已配置安全性
启动过程是否可以修改节点配置

如果任何一项检查失败，则很有可能表明您手动配置了安全性，或者您不希望自动配置安全性。在这些情况下，节点将使用现有配置正常启动。

如果您将 Elasticsearch 输出重定向到文件，则会跳过安全自动配置。自动配置的凭据只能在您首次启动 Elasticsearch 时在终端上查看。如果您需要将输出重定向到文件，请在第一次启动 Elasticsearch 时不使用重定向，并在所有后续启动中使用重定向。

检测到现有环境编辑

如果某些目录已经存在，则强烈表明该节点之前已启动过。同样，如果某些文件*不存在*，或者我们无法读取或写入特定文件或目录，则我们可能不是以安装 Elasticsearch 的用户的身份运行，或者管理员施加了限制。如果以下任何环境检查为真，则不会自动配置安全性。

Elasticsearch /data 目录存在且不为空: 此目录的存在强烈表明该节点之前已启动过，并且可能已经是集群的一部分。
elasticsearch.yml 文件不存在（或不可读），或者 elasticsearch.keystore 不可读: 如果这两个文件中的任何一个不可读，我们就无法确定是否已启用 Elasticsearch 安全功能。此状态还可能表明节点启动过程未以具有足够权限修改节点配置的用户身份运行。
Elasticsearch 配置目录不可写入: 此状态可能表明管理员已将此目录设置为只读，或者启动 Elasticsearch 的用户不是安装 Elasticsearch 的用户。

检测到现有设置编辑

以下设置与安全自动配置不兼容。如果存在以下任何设置，则节点启动过程将跳过自动配置安全性，并且节点将正常启动。

node.roles 设置为一个值，其中该节点不能被选为 master，或者该节点不能保存数据
xpack.security.autoconfiguration.enabled 设置为 false
xpack.security.enabled 已设置值
任何 xpack.security.transport.ssl.* 或 xpack.security.http.ssl.* 设置在 elasticsearch.yml 配置文件或 elasticsearch.keystore 中已设置值
任何 discovery.type、discovery.seed_hosts 或 cluster.initial_master_nodes 发现和集群形成设置已设置值

例外情况是，当 discovery.type 设置为 single-node 时，或者当 cluster.initial_master_nodes 存在但仅包含当前节点的名称时。

« Elasticsearch 安全原则手动配置安全性 »