elasticsearch如何保证安全

Elasticsearch 的安全机制主要围绕 身份认证、权限控制、网络安全、数据保护、审计 等方面展开。下面按 从基础到生产级 的方式系统说明。

一、核心安全能力（Elastic Stack Security）

从 Elasticsearch 6.8 / 7.x 开始，安全功能在 默认发行版中已内置（部分高级功能需付费）。

1️⃣ 身份认证（Authentication）

✅ 内置 Realm（最常用）

• native realm：本地用户（存储在 ES 内部）
• file realm：基于文件配置用户（适合简单场景）

示例：

bin/elasticsearch-users useradd admin -p password -r superuser

✅ 外部认证

• LDAP / Active Directory
• SAML（单点登录）
• OpenID Connect（OIDC）
• PKI（证书认证）

2️⃣ 权限控制（Authorization）

RBAC（基于角色的访问控制）

核心概念：

• User（用户）
• Role（角色）
• Permission（权限）

示例：创建角色

POST _security/role/read_logs
{
  "indices": [
    {
      "names": ["logs-*"],
      "privileges": ["read", "view_index_metadata"]
    }
  ]
}

示例：创建用户

POST _security/user/log_user
{
  "password": "123456",
  "roles": ["read_logs"]
}

✅ 控制粒度：

• 索引级别
• 字段级别（Field-level security）
• 文档级别（DLS）

3️⃣ TLS/SSL 加密（非常重要）

✅ 为什么必须开启

• 防止 明文密码、数据被抓包
• 防止 中间人攻击

开启方式

xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.security.http.ssl.enabled: true

生成证书：

bin/elasticsearch-certutil ca
bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12

4️⃣ 网络安全（Network & Firewall）

✅ 最小暴露原则

network.host: 内网IP

✅ 防火墙规则

• 只允许：
  • 应用服务器
  • Kibana
  • 管理 IP

❌ 避免直接暴露 9200 / 9300 到公网

5️⃣ Kibana 安全

✅ Kibana 与 ES 的认证

elasticsearch.username: "kibana"
elasticsearch.password: "xxx"

✅ Kibana 自身登录

• 使用 ES 用户体系
• 可开启 SSO / LDAP

6️⃣ 审计日志（Audit Logging）

用于 安全合规 & 故障溯源

xpack.security.audit.enabled: true
xpack.security.audit.logfile.events.include:
  - authentication_failed
  - access_denied

7️⃣ 集群内部安全（节点间通信）

• 节点间通信必须加密
• 使用 TLS + 节点证书验证

xpack.security.transport.ssl.verification_mode: full

二、生产环境推荐安全配置（清单）

✅ 必须做

• 开启 xpack.security
• 启用 TLS（HTTP + Transport）
• 不使用默认用户
• 不使用公网 IP
• 设置强密码

✅ 推荐做

• RBAC 最小权限
• 禁用匿名访问
• 定期轮换证书
• 开启审计日志

✅ 高级

• LDAP / SSO
• 字段级 / 文档级权限
• 数据加密（磁盘加密）

三、常见错误（⚠️ 高危）

❌ 公网直接暴露 Elasticsearch
❌ 使用默认 elastic 用户不修改密码
❌ 没开启 TLS
❌ 给应用 superuser 权限
❌ 9200 端口对全网开放

四、简单总结一句话

Elasticsearch 安全 = 身份认证 + 权限控制 + TLS 加密 + 网络隔离 + 审计

如果你愿意，我可以：

• ✅ 给你一份 生产级 elasticsearch.yml 安全模板
• ✅ 帮你设计 RBAC 权限模型
• ✅ 讲 Elasticsearch vs OpenSearch 安全差异
• ✅ 指导 从零开启 TLS 的完整步骤

你现在是 测试环境还是生产环境？