保护与 Elasticsearch 的连接

Logstash Elasticsearch 输出、输入和 过滤器插件，以及监控和集中管理，支持通过 HTTPS 进行身份验证和加密。

Elasticsearch 集群默认是安全的（从 8.0 开始）。您需要为 Logstash 配置身份验证凭据才能建立通信。如果身份验证失败，Logstash 会抛出异常并停止处理管道。

除了为 Logstash 配置身份验证凭据之外，您还需要授予授权用户访问 Logstash 索引的权限。

默认情况下，Elasticsearch 集群上的安全性处于启用状态（从 8.0 开始）。您必须在 Logstash 配置的 Elasticsearch 输出部分启用 TLS/SSL，以便允许 Logstash 与 Elasticsearch 集群通信。

默认启用 Elasticsearch 安全性编辑

Elasticsearch 在启动时会生成自己的默认自签名安全套接字层 (SSL) 证书。

Logstash 必须先建立安全套接字层 (SSL) 连接，然后才能将数据传输到受保护的 Elasticsearch 集群。Logstash 必须具有已签署 Elasticsearch 集群证书的证书颁发机构 (CA) 的副本。当一个新的 Elasticsearch 集群在*没有*专用证书的情况下启动时，它会在启动时生成自己的默认自签名证书颁发机构。有关更多信息，请参阅在启用安全性的情况下启动 Elastic Stack。

Elasticsearch Service 使用由标准公共受信任证书颁发机构签署的证书，因此无需设置 cacert。

与本地 Elasticsearch 集群的安全通信编辑

如果您在自己的硬件上运行 Elasticsearch 并使用 Elasticsearch 集群的默认自签名证书，则需要完成更多步骤才能在 Logstash 和 Elasticsearch 之间建立安全通信。

您需要

如果您的集群使用的是公共受信任证书，则无需执行这些步骤。

复制并保存证书编辑

默认情况下，本地 Elasticsearch 集群会在启动时生成自签名 CA 并创建自己的 SSL 证书。因此，Logstash 需要拥有 Elasticsearch 集群的自签名 CA 副本，以便 Logstash 验证 Elasticsearch 提供的证书。

从 Elasticsearch config/certs 目录复制自签名 CA 证书。

将其保存到 Logstash 可以访问的位置，例如 Logstash 实例上的 config/certs。

配置 elasticsearch 输出编辑

使用 elasticsearch 输出的 cacert 选项指向证书的位置。

示例

output {
  elasticsearch {
    hosts => ["https://...] 
    cacert => '/etc/logstash/config/certs/ca.crt' 
  }
}

有关与 Elasticsearch 建立安全通信的更多信息，请参阅默认启用安全性。

将 Logstash 配置为使用基本身份验证编辑

Logstash 需要能够管理索引模板、创建索引以及在其创建的索引中写入和删除文档。

为 Logstash 设置身份验证凭据

授予对 Logstash 索引的访问权限编辑

要访问 Logstash 创建的索引，用户需要 read 和 view_index_metadata 权限

将 Logstash 配置为使用 TLS/SSL 加密编辑

如果在本地 Elasticsearch 集群上启用了 TLS 加密，则需要在 Logstash .conf 文件中配置 ssl 和 cacert 选项

output {
  elasticsearch {
    ...
    ssl => true
    cacert => '/path/to/cert.pem' 
  }
}

将 Elasticsearch 输出配置为使用 PKI 身份验证编辑

elasticsearch 输出支持 PKI 身份验证。要使用 X.509 客户端证书进行身份验证，您需要在 Logstash .conf 文件中配置 keystore 和 keystore_password 选项

output {
  elasticsearch {
    ...
    keystore => /path/to/keystore.jks
    keystore_password => realpassword
    truststore =>  /path/to/truststore.jks 
    truststore_password =>  realpassword
  }
}

为 Logstash 监控配置凭据编辑

如果您想使用 Elastic Stack 监控功能监控 Logstash 实例，并将监控数据存储在安全的 Elasticsearch 集群中，则必须使用具有适当权限的用户的用户名和密码配置 Logstash。

安全功能预先配置了一个为此目的而设的logstash_system 内置用户。此用户具有监控功能所需的最低权限，并且*不应*用于任何其他目的 - 它*并非*用于 Logstash 管道。

默认情况下，logstash_system 用户没有密码。在您设置密码之前，该用户将无法启用。请参阅设置内置用户密码。

然后在 logstash.yml 配置文件中配置用户名和密码

xpack.monitoring.elasticsearch.username: logstash_system
xpack.monitoring.elasticsearch.password: t0p.s3cr3t

如果您最初安装了旧版本的 X-Pack 然后进行了升级，则出于安全原因，logstash_system 用户可能默认设置为disabled。您可以通过 user API 启用该用户

PUT _security/user/logstash_system/_enable

为集中式管道管理配置凭据编辑

如果您打算使用 Logstash 集中式管道管理，则需要配置 Logstash 用于管理配置的用户名和密码。

您可以在 logstash.yml 配置文件中配置用户名和密码

xpack.management.elasticsearch.username: logstash_admin_user 
xpack.management.elasticsearch.password: t0p.s3cr3t

使用 API 密钥授予访问权限编辑

您可以使用 API 密钥来授予对 Elasticsearch 资源的访问权限，而不是使用用户名和密码。您可以将 API 密钥设置为在特定时间过期，并且可以显式地使其失效。任何具有 manage_api_key 或 manage_own_api_key 集群权限的用户都可以创建 API 密钥。

创建 API 密钥的技巧

创建 API 密钥编辑

您可以使用创建 API 密钥 API 或Kibana UI 创建 API 密钥。本节将指导您使用创建 API 密钥 API 创建 API 密钥。两种方法所需的权限相同。

以下示例展示了如何使用Elasticsearch 输出插件 创建用于发布到 Elasticsearch 的 API 密钥。

POST /_security/api_key
{
  "name": "logstash_host001", 
  "role_descriptors": {
    "logstash_writer": { 
      "cluster": ["monitor", "manage_ilm", "read_ilm"],
      "index": [
        {
          "names": ["logstash-*"],
          "privileges": ["view_index_metadata", "create_doc"]
        }
      ]
    }
  }
}

返回值应类似于以下内容

{
  "id":"TiNAGG4BaaMdaH1tRfuU", 
  "name":"logstash_host001",
  "api_key":"KnR6yE41RrSowb0kQ0HWoA" 
}

创建用于发布的 API 密钥编辑

您很幸运！我们在创建 API 密钥部分中使用的示例使用Elasticsearch 输出插件 创建了一个用于发布到 Elasticsearch 的 API 密钥。

以下示例展示了如何在您的Elasticsearch 输出插件 配置中使用 API 密钥。

output {
  elasticsearch {
    api_key => "TiNAGG4BaaMdaH1tRfuU:KnR6yE41RrSowb0kQ0HWoA" 
  }
}

创建用于读取的 API 密钥编辑

创建用于从 Elasticsearch 读取数据的 API 密钥与创建用于发布的 API 密钥类似，如前所述。您可以使用创建 API 密钥部分中的示例，并授予适当的权限。

以下示例展示了如何在您的Elasticsearch 输入插件 配置中使用 API 密钥。

input {
  elasticsearch {
    "api_key" => "TiNAGG4BaaMdaH1tRfuU:KnR6yE41RrSowb0kQ0HWoA" 
  }
}

创建用于过滤的 API 密钥编辑

创建用于处理来自 Elasticsearch 的数据的 API 密钥与创建用于发布的 API 密钥类似，如前所述。您可以使用创建 API 密钥部分中的示例，并授予适当的权限。

以下示例展示了如何在您的Elasticsearch 过滤器插件 配置中使用 API 密钥。

filter {
  elasticsearch {
    api_key => "TiNAGG4BaaMdaH1tRfuU:KnR6yE41RrSowb0kQ0HWoA" 
  }
}

创建用于监控的 API 密钥编辑

要创建用于将监控数据发送到 Elasticsearch 的 API 密钥，请使用创建 API 密钥 API。例如

POST /_security/api_key
{
  "name": "logstash_host001", 
  "role_descriptors": {
    "logstash_monitoring": { 
      "cluster": ["monitor"],
      "index": [
        {
          "names": [".monitoring-ls-*"],
          "privileges": ["create_index", "create"]
        }
      ]
    }
  }
}

返回值应类似于以下内容

{
  "id":"TiNAGG4BaaMdaH1tRfuU", 
  "name":"logstash_host001",
  "api_key":"KnR6yE41RrSowb0kQ0HWoA" 
}

现在，您可以在您的 logstash.yml 配置文件中使用此 API 密钥

xpack.monitoring.elasticsearch.api_key: TiNAGG4BaaMdaH1tRfuU:KnR6yE41RrSowb0kQ0HWoA 

创建用于集中管理的 API 密钥编辑

要创建用于集中管理的 API 密钥，请使用创建 API 密钥 API。例如

POST /_security/api_key
{
  "name": "logstash_host001", 
  "role_descriptors": {
    "logstash_monitoring": { 
      "cluster": ["monitor"],
      "index": ["read"]
    }
  }
}

返回值应类似于以下内容

{
  "id":"TiNAGG4BaaMdaH1tRfuU", 
  "name":"logstash_host001",
  "api_key":"KnR6yE41RrSowb0kQ0HWoA" 
}

现在，您可以在您的 logstash.yml 配置文件中使用此 API 密钥

xpack.management.elasticsearch.api_key: TiNAGG4BaaMdaH1tRfuU:KnR6yE41RrSowb0kQ0HWoA 

了解有关 API 密钥的更多信息编辑

有关更多信息，请参阅 Elasticsearch API 密钥文档

有关通过 Kibana 管理 API 密钥的信息，请参阅API 密钥。