十四、ES开启密码认证

一、为什么要用安全认证

每个人都能使用es-head插件跟kibana查看和修改es数据库，这是十分危险的。
所以需要给es-head和kibana添加密码认证。

二、环境准备

主机名	服务	IP
es01	es+kibana	10.154.0.110
es02	es	10.154.0.111

我这使用的环境是两台es服务器，其中es01上安装了kibana，es-head插件使用的是谷歌扩展插件。

三、给es-head添加密码认证

1、生成证书和密钥

/usr/share/elasticsearch/bin/elasticsearch-certutil ca
/usr/share/elasticsearch/bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12

生成证书和密钥的过程，直接回车即可，使用默认的名字和空密码

2、更改证书所属主并复制给集群其他节点

mkdir /etc/elasticsearch/certs/
cp  /usr/share/elasticsearch/*.p12  /etc/elasticsearch/certs/
chown -R elasticsearch:elasticsearch /etc/elasticsearch/certs/
scp -rp /etc/elasticsearch/certs/ 10.154.0.111:/etc/elasticsearch/certs/

注意，复制到其他节点后需要检查一下所属主，虽然使用了scp -rp但也不是百分百的保证证书所属主还是原来的，这里我发现复制到es02上所属主重新变为了root，一定要检查所属主！

3、修改配置文件开启安全功能

vim /etc/elasticsearch/elasticsearch.yml 
xpack.security.enabled: true #开启安全功能
xpack.security.transport.ssl.enabled: true #开启传输的时候通过SSL加密功能
xpack.security.transport.ssl.verification_mode: certificate #认证模式是证书认证
xpack.security.transport.ssl.keystore.path: certs/elastic-stack-ca.p12 #证书位置
xpack.security.transport.ssl.truststore.path: certs/elastic-stack-ca.p12 #证书位置

这里要注意的是使用的都是elastic-stack-ca.p12文件

4、重启所有节点

systemctl restart elasticsearch

此时访问es-head插件就需要输入密码了，效果如图

kibana已经访问不了了，效果如图

5、给es-head插件设置访问密码

我在es01上做的，需要在安装了kibana的服务器上做如下配置

/usr/share/elasticsearch/bin/elasticsearch-setup-passwords interactive

接下来给几个账户设置密码，用户名密码都要记好，尤其是elastic这个用户，是用来登录es-head和kibana的用户。

6、重启所有节点的es服务

systemctl restart elasticsearch

此时通过es-head插件连接es01和es02都需要输入用户名密码了，使用elastic用户登录即可。

四、给kibana设置密码

1、给kibana配置证书
因为kibana跟es连接也需要证书加密通讯

mkdir -p /etc/kibana/certs
cp /etc/elasticsearch/certs/elastic-* /etc/kibana/certs/

2、赋予kibana属主权限，权限一定要是kibana

cd /etc/kibana/certs/
chown kibana:kibana *

3、设置kibana密码认证

这里给出两种方法，鉴于安全性考虑推荐使用第二种。

第一种方法：
修改kibana配置文件，这里写入的用户名密码都是明文的，不推荐该方法，了解即可。

vim /etc/kibana/kibana.yml 
#修改46跟47行，设置密码，账户一定要是elastic，密码也一定要是之前设置的密码
elasticsearch.username: "elastic"
elasticsearch.password: "111111"

#修改58跟59行，设置证书路径，要写绝对路径
elasticsearch.ssl.certificate: /etc/kibana/certs/elastic-certificates.p12
elasticsearch.ssl.key: /etc/kibana/certs/elastic-stack-ca.p12

检查修改后的配置文件

第二种方法：
通过keystore配置加密的用户名密码信息

vim /etc/kibana/kibana.yml 
#修改58跟59行，设置证书路径，要写绝对路径
elasticsearch.ssl.certificate: /etc/kibana/certs/elastic-certificates.p12
elasticsearch.ssl.key: /etc/kibana/certs/elastic-stack-ca.p12

#kibana我是使用root账户运行的，需要加上--allow-root选项
/usr/share/kibana/bin/kibana-keystore create --allow-root

#用户名一定要是elastic
/usr/share/kibana/bin/kibana-keystore add elasticsearch.username --allow-root

#密码也是之前设置elastic用户的密码
/usr/share/kibana/bin/kibana-keystore add elasticsearch.password --allow-root

4、重启kibana