【Docker】Docker Elasticsearch7 加装安全认证插件

心已赠人 2022-10-30 11:29 339阅读 0赞

之前文章中我们已经完成了Docker版本的Elasticsearch部署，为了增强安全性在此为Elasticsearch安装安全认证插件（2018年全球大规模的Elasticsearch攻击历历在目）。由于之前部署的Elasticsearch是Docker版本，本次也基于Docker版本进行说明。

为了简化操作步骤，这边将配合使用Docker Desktop（以下简称“DD”）来进行Docker操作（对应回脚本操作也是非常方便的，有空将重新整理出来）。首先打开DD的Dashbroad界面。在界面上选择对应的Elasticsearch镜像并通过CLI打开  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70]  
并输入命令

./bin/elasticsearch-certutil ca

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 1]  
如上图所示，这里被要求输入路径和密码，路径我这里没有输入因为不知道路径是什么，密码我就输入一个，之后就会生成了一个`elastic-stack-ca.p12`的文件如下图：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 2]  
之后就根据这个p12文件生成密钥  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 3]  
这里会先验证之前生成`elastic-stack-ca.p12`时的密钥，之后要求你输入`elastic-certificates.p12`生成的路径和密钥（路径就不必了反正默认是生成在当前目录下的，密钥建议就跟之前一样就可以了免得到处记密钥）。

之后就是常规操作了，将`elastic-certificates.p12`复制到`/usr/share/elasticsearch/config/certificates/`路径下。由于已经将`/usr/share/elasticsearch/config/`映射到宿主机，但是没有`certificates`文件夹，这次就将这个文件夹加上。之后通过命令

mv elastic-certificates.p12 config/certificates/

将证书移动过去。并修改证书的权限

chmod 777 config/certificates/elastic-certificates.p12

所有工作准备就绪之后就可以修改配置文件了

vim config/elasticsearch.yml

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 4]  
根据上图给出内容进行设置，设置完成后还需要为节点设置密码  
![在这里插入图片描述][20210219135524391.png]  
全部工作完成之后就可以重启Docker服务了。

PS：本以为就这样按照网上的一步一步做就可以了，但是我还是太过天真了…

--------------------

#### 故障处理 ####

在重启服务后CLI发现大量的报错，错的都是关于xpack插件的密钥问题。

没有办法只能查看配置信息并逐个屏蔽找到问题所在，首先将xpack插件相关的配置屏蔽，只保留：

xpack.security.enabled：true

由于是单节点启动的Elasticsearch7，所以在配置中加入：

discovery.type: single-node

通过配置单节点发现，启动Elasticsearch7时会报错：

"stacktrace": ["org.elasticsearch.bootstrap.StartupException: java.lang.IllegalArgumentException: setting [cluster.initial_master_nodes] is not allowed when [discovery.type] is set to [single-node]",
    "at org.elasticsearch.bootstrap.Elasticsearch.init(Elasticsearch.java:163) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.bootstrap.Elasticsearch.execute(Elasticsearch.java:150) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.cli.EnvironmentAwareCommand.execute(EnvironmentAwareCommand.java:86) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.cli.Command.mainWithoutErrorHandling(Command.java:125) ~[elasticsearch-cli-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.cli.Command.main(Command.java:90) ~[elasticsearch-cli-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.bootstrap.Elasticsearch.main(Elasticsearch.java:115) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.bootstrap.Elasticsearch.main(Elasticsearch.java:92) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "Caused by: java.lang.IllegalArgumentException: setting [cluster.initial_master_nodes] is not allowed when [discovery.type] is set to [single-node]",
    "at org.elasticsearch.cluster.coordination.ClusterBootstrapService.<init>(ClusterBootstrapService.java:86) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.cluster.coordination.Coordinator.<init>(Coordinator.java:198) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.discovery.DiscoveryModule.<init>(DiscoveryModule.java:155) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.node.Node.<init>(Node.java:507) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.node.Node.<init>(Node.java:253) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.bootstrap.Bootstrap$5.<init>(Bootstrap.java:241) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.bootstrap.Bootstrap.setup(Bootstrap.java:241) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.bootstrap.Bootstrap.init(Bootstrap.java:369) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "at org.elasticsearch.bootstrap.Elasticsearch.init(Elasticsearch.java:159) ~[elasticsearch-7.5.2.jar:7.5.2]",
    "... 6 more"] }

看到上面的报错得知由于`discovery.type: single-node`这个配置是单节点启动的，而原来的配置中存在`cluster.initial_master_nodes: ["node-1"]`这样的配置信息（这个是集群配置）。产生了冲突，所以将后者屏蔽就能够成功启动。具体配置如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 5]  
接下来将之前创建的keystore工序重做一次，进入CLI控制台。执行：

./bin/elasticsearch-keystore create

将之前已创建的key文件覆盖。之后使用：

./bin/elasticsearch-setup-passwords interactive

对现有的Elasticsearch7全部用户重新设置密码（这个是风险项千万要注意）  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 6]  
之后就能够重新创建密钥文件。由于ca文件已经生成就不需要重新生成，可以重新生成认证文件：

./bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12

mv elastic-certificates.p12 config/certificates/

将认证文件移动到宿主机目录并重新输入创建安全连接的密码

./bin/elasticsearch-keystore add \
    xpack.security.transport.ssl.keystore.secure_password
    
    ./bin/elasticsearch-keystore add \
    xpack.security.transport.ssl.truststore.secure_password

之后就可以尝试将`elasticsearch.yml`文件中有关`xpack`插件配置解除后重启，最终配置文件如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 7]  
在服务启动成功后打开浏览器输入`http://localhost:9270`，会出现提示登录弹出框，证明Elasticsearch7配置权限成功  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 8]  
还记得之前通过`./bin/elasticsearch-setup-passwords interactive`设置过密码吗？

里面有一个用户叫做“elastic”是一个默认用户，由于之前已经设置了他的密码，所以可以通过用户名elastic和密码进行登录，如下图：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 9]  
至此全部设置就已经完成。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70]: /images/20221024/538d317c07c94c7d91bff7d89082e69f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 1]: /images/20221024/b15ba0e1b1d44765aacb6298d63612df.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 2]: /images/20221024/ff495ddf728c4f51a9bfb45f8623a3f8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 3]: /images/20221024/c04ab56700a34a198d784034c60da304.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 4]: /images/20221024/33d152bf7de5422ea9f73d1b85c6985e.png
[20210219135524391.png]: /images/20221024/d97f51086d7a44e0982d770e8613af73.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 5]: /images/20221024/84d33450ba0146b8895c4e01cdb73fd9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 6]: /images/20221024/ceb638c6d939490c8aad021468e11486.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 7]: /images/20221024/0b82e8721484414a90e818d01b744f5e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 8]: /images/20221024/4d2d167bab244c15870600fa5c79db74.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tpZGFfeXVhbg_size_16_color_FFFFFF_t_70 9]: /images/20221024/94f4d6ea2b694f3189b628a1e586c943.png