- Elasticsearch 指南其他版本
- 8.17 中的新功能
- Elasticsearch 基础
- 快速入门
- 设置 Elasticsearch
- 升级 Elasticsearch
- 索引模块
- 映射
- 文本分析
- 索引模板
- 数据流
- 摄取管道
- 别名
- 搜索您的数据
- 重新排名
- 查询 DSL
- 聚合
- 地理空间分析
- 连接器
- EQL
- ES|QL
- SQL
- 脚本
- 数据管理
- 自动缩放
- 监视集群
- 汇总或转换数据
- 设置高可用性集群
- 快照和还原
- 保护 Elastic Stack 的安全
- Watcher
- 命令行工具
- elasticsearch-certgen
- elasticsearch-certutil
- elasticsearch-create-enrollment-token
- elasticsearch-croneval
- elasticsearch-keystore
- elasticsearch-node
- elasticsearch-reconfigure-node
- elasticsearch-reset-password
- elasticsearch-saml-metadata
- elasticsearch-service-tokens
- elasticsearch-setup-passwords
- elasticsearch-shard
- elasticsearch-syskeygen
- elasticsearch-users
- 优化
- 故障排除
- 修复常见的集群问题
- 诊断未分配的分片
- 向系统中添加丢失的层
- 允许 Elasticsearch 在系统中分配数据
- 允许 Elasticsearch 分配索引
- 索引将索引分配过滤器与数据层节点角色混合,以在数据层之间移动
- 没有足够的节点来分配所有分片副本
- 单个节点上索引的分片总数已超过
- 每个节点的分片总数已达到
- 故障排除损坏
- 修复磁盘空间不足的数据节点
- 修复磁盘空间不足的主节点
- 修复磁盘空间不足的其他角色节点
- 启动索引生命周期管理
- 启动快照生命周期管理
- 从快照恢复
- 故障排除损坏的存储库
- 解决重复的快照策略失败问题
- 故障排除不稳定的集群
- 故障排除发现
- 故障排除监控
- 故障排除转换
- 故障排除 Watcher
- 故障排除搜索
- 故障排除分片容量健康问题
- 故障排除不平衡的集群
- 捕获诊断信息
- REST API
- API 约定
- 通用选项
- REST API 兼容性
- 自动缩放 API
- 行为分析 API
- 紧凑和对齐文本 (CAT) API
- 集群 API
- 跨集群复制 API
- 连接器 API
- 数据流 API
- 文档 API
- 丰富 API
- EQL API
- ES|QL API
- 功能 API
- Fleet API
- 图表探索 API
- 索引 API
- 别名是否存在
- 别名
- 分析
- 分析索引磁盘使用量
- 清除缓存
- 克隆索引
- 关闭索引
- 创建索引
- 创建或更新别名
- 创建或更新组件模板
- 创建或更新索引模板
- 创建或更新索引模板(旧版)
- 删除组件模板
- 删除悬挂索引
- 删除别名
- 删除索引
- 删除索引模板
- 删除索引模板(旧版)
- 存在
- 字段使用情况统计信息
- 刷新
- 强制合并
- 获取别名
- 获取组件模板
- 获取字段映射
- 获取索引
- 获取索引设置
- 获取索引模板
- 获取索引模板(旧版)
- 获取映射
- 导入悬挂索引
- 索引恢复
- 索引段
- 索引分片存储
- 索引统计信息
- 索引模板是否存在(旧版)
- 列出悬挂索引
- 打开索引
- 刷新
- 解析索引
- 解析集群
- 翻转
- 收缩索引
- 模拟索引
- 模拟模板
- 拆分索引
- 解冻索引
- 更新索引设置
- 更新映射
- 索引生命周期管理 API
- 推理 API
- 信息 API
- 摄取 API
- 许可 API
- Logstash API
- 机器学习 API
- 机器学习异常检测 API
- 机器学习数据帧分析 API
- 机器学习训练模型 API
- 迁移 API
- 节点生命周期 API
- 查询规则 API
- 重新加载搜索分析器 API
- 存储库计量 API
- 汇总 API
- 根 API
- 脚本 API
- 搜索 API
- 搜索应用程序 API
- 可搜索快照 API
- 安全 API
- 身份验证
- 更改密码
- 清除缓存
- 清除角色缓存
- 清除权限缓存
- 清除 API 密钥缓存
- 清除服务帐户令牌缓存
- 创建 API 密钥
- 创建或更新应用程序权限
- 创建或更新角色映射
- 创建或更新角色
- 批量创建或更新角色 API
- 批量删除角色 API
- 创建或更新用户
- 创建服务帐户令牌
- 委托 PKI 身份验证
- 删除应用程序权限
- 删除角色映射
- 删除角色
- 删除服务帐户令牌
- 删除用户
- 禁用用户
- 启用用户
- 注册 Kibana
- 注册节点
- 获取 API 密钥信息
- 获取应用程序权限
- 获取内置权限
- 获取角色映射
- 获取角色
- 查询角色
- 获取服务帐户
- 获取服务帐户凭据
- 获取安全设置
- 获取令牌
- 获取用户权限
- 获取用户
- 授予 API 密钥
- 具有权限
- 使 API 密钥失效
- 使令牌失效
- OpenID Connect 准备身份验证
- OpenID Connect 身份验证
- OpenID Connect 注销
- 查询 API 密钥信息
- 查询用户
- 更新 API 密钥
- 更新安全设置
- 批量更新 API 密钥
- SAML 准备身份验证
- SAML 身份验证
- SAML 注销
- SAML 失效
- SAML 完成注销
- SAML 服务提供商元数据
- SSL 证书
- 激活用户配置文件
- 禁用用户配置文件
- 启用用户配置文件
- 获取用户配置文件
- 建议用户配置文件
- 更新用户配置文件数据
- 具有用户配置文件权限
- 创建跨集群 API 密钥
- 更新跨集群 API 密钥
- 快照和还原 API
- 快照生命周期管理 API
- SQL API
- 同义词 API
- 文本结构 API
- 转换 API
- 使用情况 API
- Watcher API
- 定义
- 迁移指南
- 发行说明
- Elasticsearch 版本 8.17.0
- Elasticsearch 版本 8.16.1
- Elasticsearch 版本 8.16.0
- Elasticsearch 版本 8.15.5
- Elasticsearch 版本 8.15.4
- Elasticsearch 版本 8.15.3
- Elasticsearch 版本 8.15.2
- Elasticsearch 版本 8.15.1
- Elasticsearch 版本 8.15.0
- Elasticsearch 版本 8.14.3
- Elasticsearch 版本 8.14.2
- Elasticsearch 版本 8.14.1
- Elasticsearch 版本 8.14.0
- Elasticsearch 版本 8.13.4
- Elasticsearch 版本 8.13.3
- Elasticsearch 版本 8.13.2
- Elasticsearch 版本 8.13.1
- Elasticsearch 版本 8.13.0
- Elasticsearch 版本 8.12.2
- Elasticsearch 版本 8.12.1
- Elasticsearch 版本 8.12.0
- Elasticsearch 版本 8.11.4
- Elasticsearch 版本 8.11.3
- Elasticsearch 版本 8.11.2
- Elasticsearch 版本 8.11.1
- Elasticsearch 版本 8.11.0
- Elasticsearch 版本 8.10.4
- Elasticsearch 版本 8.10.3
- Elasticsearch 版本 8.10.2
- Elasticsearch 版本 8.10.1
- Elasticsearch 版本 8.10.0
- Elasticsearch 版本 8.9.2
- Elasticsearch 版本 8.9.1
- Elasticsearch 版本 8.9.0
- Elasticsearch 版本 8.8.2
- Elasticsearch 版本 8.8.1
- Elasticsearch 版本 8.8.0
- Elasticsearch 版本 8.7.1
- Elasticsearch 版本 8.7.0
- Elasticsearch 版本 8.6.2
- Elasticsearch 版本 8.6.1
- Elasticsearch 版本 8.6.0
- Elasticsearch 版本 8.5.3
- Elasticsearch 版本 8.5.2
- Elasticsearch 版本 8.5.1
- Elasticsearch 版本 8.5.0
- Elasticsearch 版本 8.4.3
- Elasticsearch 版本 8.4.2
- Elasticsearch 版本 8.4.1
- Elasticsearch 版本 8.4.0
- Elasticsearch 版本 8.3.3
- Elasticsearch 版本 8.3.2
- Elasticsearch 版本 8.3.1
- Elasticsearch 版本 8.3.0
- Elasticsearch 版本 8.2.3
- Elasticsearch 版本 8.2.2
- Elasticsearch 版本 8.2.1
- Elasticsearch 版本 8.2.0
- Elasticsearch 版本 8.1.3
- Elasticsearch 版本 8.1.2
- Elasticsearch 版本 8.1.1
- Elasticsearch 版本 8.1.0
- Elasticsearch 版本 8.0.1
- Elasticsearch 版本 8.0.0
- Elasticsearch 版本 8.0.0-rc2
- Elasticsearch 版本 8.0.0-rc1
- Elasticsearch 版本 8.0.0-beta1
- Elasticsearch 版本 8.0.0-alpha2
- Elasticsearch 版本 8.0.0-alpha1
- 依赖项和版本
FIPS 140-2
编辑FIPS 140-2
编辑联邦信息处理标准 (FIPS) 出版物 140-2 (FIPS PUB 140-2),题为“密码模块的安全要求”,是美国政府用于批准密码模块的计算机安全标准。Elasticsearch 提供符合 FIPS 140-2 的模式,因此可以在配置了 FIPS 140-2 的 JVM 中运行。
符合 FIPS 140-2 的要求需要仅使用 FIPS 批准的/NIST 推荐的加密算法。通常可以通过以下方式完成此操作
- 安装和配置 FIPS 认证的 Java 安全提供程序。
- 确保 Elasticsearch 的配置符合 FIPS 140-2,如下所述。
- 在
elasticsearch.yml
中将xpack.security.fips_mode.enabled
设置为true
。请注意 - 仅此设置不足以符合 FIPS 140-2。
为 FIPS 140-2 配置 Elasticsearch
编辑有关 FIPS 140-2 合规性所需配置的详细说明超出了本文档的范围。用户有责任确保符合 FIPS 140-2。Elasticsearch 已经使用下面描述的特定配置进行了测试。但是,还有其他配置可以实现合规性。
以下是所需配置的总体概述
- 使用外部安装的 Java 安装。与 Elasticsearch 捆绑的 JVM 未配置为 FIPS 140-2。
- 在 Elasticsearch 的
lib
目录中安装 FIPS 认证的安全提供程序 .jar 文件。 - 配置 Java 以使用 FIPS 认证的安全提供程序(请参见下文)。
- 配置 Elasticsearch 的安全管理器以允许使用 FIPS 认证的提供程序(请参见下文)。
- 确保密钥库和信任库已正确配置(请参见下文)。
- 确保 TLS 设置已正确配置(请参见下文)。
- 确保密码哈希设置已正确配置(请参见下文)。
- 确保缓存的密码哈希设置已正确配置(请参见下文)。
- 配置
elasticsearch.yml
以使用 FIPS 140-2 模式,请参阅(下文)。 - 验证安全提供程序是否已正确安装和配置(请参见下文)。
- 查看升级注意事项(请参见下文)和限制(请参见下文)。
Java 安全提供程序
编辑有关安装和配置 FIPS 认证的 Java 安全提供程序的详细说明超出了本文档的范围。具体而言,需要一个 FIPS 认证的 JCA 和 JSSE 实现,以便 JVM 使用 FIPS 验证的 NIST 推荐的加密算法实现。
Elasticsearch 已使用 Bouncy Castle 的 bc-fips 1.0.2.5 和 bctls-fips 1.0.19 进行了测试。有关哪些 JVM 和安全提供程序组合在 FIPS 模式下受支持的详细信息,请参阅 Elasticsearch JVM 支持矩阵。Elasticsearch 不附带 FIPS 认证的提供程序。用户有责任安装和配置安全提供程序,以确保符合 FIPS 140-2。使用 FIPS 认证的提供程序将确保仅使用批准的加密算法。
要配置 Elasticsearch 以使用其他安全提供程序,请配置 Elasticsearch 的 JVM 属性 java.security.properties
以指向 Elasticsearch 的 config
目录中的文件(示例)。确保 FIPS 认证的安全提供程序配置为最低顺序。此文件应包含必要的配置,以指示 Java 使用 FIPS 认证的安全提供程序。
Java 安全管理器
编辑在 Elasticsearch 中运行的所有代码都受到 Java 安全管理器强制执行的安全限制。您已安装和配置的安全提供程序可能需要其他权限才能正常工作。您可以通过提供自己的 Java 安全策略来授予这些权限
要配置 Elasticsearch 的安全管理器,请配置 JVM 属性 java.security.policy
以指向 Elasticsearch 的 config
目录中具有所需权限的文件(示例)。此文件应包含 Java 安全管理器授予安全提供程序所需权限的必要配置。
Elasticsearch 密钥库
编辑FIPS 140-2(通过 NIST 特别出版物 800-132)规定加密密钥应至少具有 112 位的有效强度。因此,存储节点安全设置的 Elasticsearch 密钥库需要使用满足此要求的密码进行密码保护。这意味着密码需要 14 个字节长,这相当于 14 个字符的 ASCII 编码密码或 7 个字符的 UTF-8 编码密码。您可以使用 elasticsearch-keystore passwd 子命令来更改或设置现有密钥库的密码。请注意,当密钥库受密码保护时,您必须在每次 Elasticsearch 启动时都提供密码。
TLS
编辑FIPS 140-2 不允许使用 SSLv2 和 SSLv3,因此不能将 SSLv2Hello
和 SSLv3
用于 ssl.supported_protocols
。
TLS 密码的使用主要受相关加密模块(您的 JVM 使用的 FIPS 批准的安全提供程序)的约束。Elasticsearch 中默认配置的所有密码都符合 FIPS 140-2,因此可以在 FIPS 140-2 JVM 中使用。请参阅ssl.cipher_suites
。
TLS 密钥库和密钥
编辑密钥库可以在许多通用 TLS 设置中使用,以便方便地存储密钥和信任材料。在配置了 FIPS 140-2 的 JVM 中,既不能使用 JKS
,也不能使用 PKCS#12
密钥库。请避免使用这些类型的密钥库。您的 FIPS 140-2 提供程序可以提供可以使用的符合要求的密钥库实现,或者您可以使用 PEM 编码的文件。要使用 PEM 编码的密钥材料,您可以使用相关的 *.key
和 *.certificate
配置选项,对于信任材料,您可以使用 *.certificate_authorities
。
FIPS 140-2 合规性规定用于 TLS 的公钥长度必须与 TLS 中使用的对称密钥算法的强度相对应。根据您选择使用的 ssl.cipher_suites
值,TLS 密钥必须具有与下表对应的长度
存储的密码哈希
编辑虽然 Elasticsearch 提供了许多用于安全地哈希磁盘上凭据的算法,但只有基于 PBKDF2
的算法系列符合 FIPS 140-2 对于存储密码哈希的要求。但是,由于 PBKDF2
本质上是一个密钥派生函数,您的 JVM 安全提供程序可能会强制执行 112 位密钥强度要求。尽管 FIPS 140-2 没有规定用户密码标准,但此要求可能会影响 Elasticsearch 中的密码哈希。为了满足此要求,同时允许您使用满足您安全策略的密码,Elasticsearch 提供了 pbkdf2_stretch,这是在 FIPS 140-2 环境中运行 Elasticsearch 时建议使用的哈希算法。pbkdf2_stretch
在将用户密码传递给 PBKDF2
实现之前,会对用户密码执行一轮 SHA-512。
如果您有外部策略和工具可以确保保留的、本地的和文件领域的所有用户密码都长于 14 个字节,您仍然可以使用纯 pbkdf2
选项之一,而不是 pbkdf2_stretch
。
您必须将 xpack.security.authc.password_hashing.algorithm
设置为可用的 pbkdf_stretch_*
值之一。启用 FIPS-140 模式后,xpack.security.authc.password_hashing.algorithm
的默认值为 pbkdf2_stretch
。请参阅用户缓存和密码哈希算法。
密码哈希配置更改不是追溯性的,因此不会更新磁盘上保留的、本地的和文件领域的现有用户的存储哈希凭据。为了确保符合 FIPS 140-2,请使用文件领域的 elasticsearch-user CLI 工具以及本地和保留领域的创建用户和更改密码 API 重新创建用户或更改其密码。其他类型的领域不受影响,不需要任何更改。
缓存的密码哈希
编辑对于缓存哈希,建议使用 ssha256
(加盐 sha256
)。虽然 PBKDF2
符合 FIPS-140-2 标准,但它的设计使其速度较慢,因此通常不适合作为缓存哈希算法。缓存的凭据永远不会存储在磁盘上,而加盐 sha256
为内存中的凭据哈希提供了足够的安全性,而不会造成过高的性能开销。您可以使用 PBKDF2
,但应首先仔细评估性能影响。根据您的部署情况,PBKDF2
的开销可能会抵消使用缓存的大部分性能增益。
要么将所有 cache.hash_algo
设置为 ssha256
,要么将其保留为未定义,因为 ssha256
是所有 cache.hash_algo
设置的默认值。请参阅用户缓存和密码哈希算法。
用户缓存在节点重启时将被清空,因此任何使用不合规算法的现有哈希都将被丢弃,并且将使用您选择的算法创建新的哈希。
配置 Elasticsearch elasticsearch.yml
编辑- 在
elasticsearch.yml
中将xpack.security.fips_mode.enabled
设置为true
。此设置用于确保将一些内部配置配置为符合 FIPS 140-2 标准,并提供一些额外的验证。 - 将
xpack.security.autoconfiguration.enabled
设置为false
。这将禁用安全设置的自动配置。用户必须确保安全设置已正确配置为符合 FIPS-140-2 标准。这仅适用于新安装。 - 根据需要设置
xpack.security.authc.password_hashing.algorithm
,请参阅上方。 - 其他相关的安全设置。例如,传输和 HTTP 接口的 TLS。(此处或下面的示例中未明确涵盖)
- 可选:在
elasticsearch.yml
中设置xpack.security.fips_mode.required_providers
,以确保所需的安全提供程序(8.13+)。请参阅下方。
xpack.security.fips_mode.enabled: true xpack.security.autoconfiguration.enabled: false xpack.security.fips_mode.required_providers: ["BCFIPS", "BCJSSE"] xpack.security.authc.password_hashing.algorithm: "pbkdf2_stretch"
验证安全提供程序是否已安装
编辑要验证安全提供程序是否已安装并正在使用,您可以使用以下任一步骤
- 验证所需的安全提供程序是否在
java.security.properties
指向的文件中以最低的顺序配置。例如,security.provider.1
的顺序低于security.provider.2
- 在
elasticsearch.yml
中将xpack.security.fips_mode.required_providers
设置为所需安全提供程序的列表。此设置用于确保正确安装和配置了正确的安全提供程序。(8.13+) 如果未正确安装安全提供程序,Elasticsearch 将无法启动。["BCFIPS", "BCJSSE"]
是用于 Bouncy Castle 的 FIPS JCE 和 JSSE 认证提供程序的值。
升级注意事项
编辑Elasticsearch 8.0+ 需要 Java 17 或更高版本。Elasticsearch 8.13+ 已经过 Bouncy Castle 的 Java 17 认证 FIPS 实现的测试,是在 FIPS 140-2 模式下运行 Elasticsearch 时推荐的 Java 安全提供程序。请注意 - Elasticsearch 不附带 FIPS 认证的安全提供程序,需要显式安装和配置。
或者,考虑使用 FedRAMP 认证的 GovCloud 区域中的 Elasticsearch Service。
某些加密算法可能在更新的 FIPS 140-2 安全提供程序中不再默认可用。值得注意的是,现在不鼓励使用 Triple DES 和 PKCS1.5 RSA,Bouncy Castle 现在需要显式配置才能继续使用这些算法。
如果您计划将现有集群升级到可以在 FIPS 140-2 配置的 JVM 中运行的版本,我们建议首先在现有 JVM 中执行滚动升级到新版本,并执行所有必要的配置更改,为在 FIPS 140-2 模式下运行做准备。然后,您可以执行节点的滚动重启,在 FIPS 140-2 JVM 中启动每个节点。在重启期间,Elasticsearch
- 将安全设置升级到最新的合规格式。FIPS 140-2 JVM 无法加载以前格式的版本。如果您的密钥库没有密码保护,您必须手动设置密码。请参阅Elasticsearch 密钥库。
- 将自生成的试用许可证升级到最新的 FIPS 140-2 合规格式。
如果您的订阅已经支持 FIPS 140-2 模式,您可以选择执行滚动升级,同时在 FIPS 140-2 JVM 中运行每个升级的节点。在这种情况下,除了下面概述的必要配置更改之外,您还需要在启动每个节点之前手动重新生成 elasticsearch.keystore
并将所有安全设置迁移到其中。
限制
编辑由于 FIPS 140-2 合规性强制执行的限制,在 FIPS 140-2 模式下运行时,一小部分功能不可用。列表如下
- Azure Classic Discovery 插件
elasticsearch-certutil
工具。但是,可以在非 FIPS 140-2 配置的 JVM 中使用elasticsearch-certutil
(将ES_JAVA_HOME
环境变量指向不同的 java 安装),以便生成可以在 FIPS 140-2 配置的 JVM 中使用的密钥和证书。- 当使用 TLS 进行传输安全或使用 PKI 进行客户端身份验证时,SQL CLI 客户端无法在 FIPS 140-2 配置的 JVM 中运行。
On this page