Elasticsearch安全设置如何配置

Elasticsearch安全设置可从以下方面配置：

1. 启用安全功能
   在elasticsearch.yml中添加xpack.security.enabled: true，启用基础安全认证。

   • 单节点集群需设置discovery.type: single-node。

2. 配置内置用户密码
   使用elasticsearch-setup-passwords工具为elastic、kibana_system等内置用户设置密码。

   ./bin/elasticsearch-setup-passwords auto  # 自动生成密码  
   ./bin/elasticsearch-setup-passwords interactive  # 手动设置密码  
   

3. 启用TLS/SSL加密通信

   • 生成证书：使用elasticsearch-certutil工具生成CA证书、节点证书及密钥库（keystore）和信任库（truststore）。
   • 配置文件：在elasticsearch.yml中指定证书路径及验证模式（如verification_mode: certificate或full）。

     xpack.security.transport.ssl.enabled: true  
     xpack.security.transport.ssl.keystore.path: certs/elastic-certificates.p12  
     xpack.security.transport.ssl.truststore.path: certs/elastic-certificates.p12  
     

   • HTTP加密：配置xpack.security.http.ssl.enabled: true启用HTTPS。

4. 用户与权限管理

   • 内置角色：如superuser（完全访问）、read_only（只读）等。
   • 自定义角色：通过API或YAML文件定义角色，关联索引/集群权限。

     POST /_security/role/myrole  
     {  
       "indices": [{"names": ["myindex-*"], "privileges": ["read"]}],  
       "cluster": ["monitor"]  
     }  
     

   • 用户绑定角色：为用户分配角色，支持用户名/密码或API Key认证。

5. 审计与合规

   • 启用审计日志记录敏感操作：

     xpack.security.audit.enabled: true  
     xpack.security.audit.logfile.events.include: authentication_failed, access_denied  
     

   • 日志默认路径为/var/log/elasticsearch/audit.log，可定期审查。

注意：生产环境需使用正式证书（非自签名），并定期轮换密钥；多节点集群需确保所有节点配置一致。

参考来源：