跳到主要内容

Elasticsearch 安全框架

介绍​

Elasticsearch 是一个强大的分布式搜索和分析引擎，广泛应用于日志分析、全文搜索、实时数据分析等场景。然而，随着其应用范围的扩大，Elasticsearch 的安全问题也日益突出。为了保护数据的安全性和隐私性，Elasticsearch 提供了多种安全机制，统称为 Elasticsearch 安全框架。

Elasticsearch 安全框架主要包括以下几个方面：

  • 认证（Authentication）：验证用户的身份。
  • 授权（Authorization）：控制用户对资源的访问权限。
  • 加密（Encryption）：保护数据在传输和存储过程中的安全。
  • 审计（Auditing）：记录用户的操作日志，便于事后审计。

接下来，我们将逐步讲解这些安全机制，并通过实际案例展示如何配置和使用它们。

认证（Authentication）​

认证是验证用户身份的过程。Elasticsearch 支持多种认证方式，包括内置用户、LDAP、Active Directory 等。

内置用户认证​

Elasticsearch 提供了内置的用户管理系统，可以通过 elasticsearch-users 工具来管理用户。

bash
# 创建一个新用户
bin/elasticsearch-users useradd myuser -p mypassword -r superuser

使用 API 进行认证​

Elasticsearch 提供了 REST API 来进行认证。以下是一个使用 curl 进行基本认证的示例：

bash
curl -u myuser:mypassword -X GET "http://localhost:9200/_cluster/health"

输出：

json
{
  "cluster_name": "my_cluster",
  "status": "green",
  "timed_out": false,
  "number_of_nodes": 3,
  "number_of_data_nodes": 3,
  "active_primary_shards": 10,
  "active_shards": 20,
  "relocating_shards": 0,
  "initializing_shards": 0,
  "unassigned_shards": 0,
  "delayed_unassigned_shards": 0,
  "number_of_pending_tasks": 0,
  "number_of_in_flight_fetch": 0,
  "task_max_waiting_in_queue_millis": 0,
  "active_shards_percent_as_number": 100.0
}
备注

在生产环境中，建议使用 HTTPS 而不是 HTTP，以确保数据在传输过程中的安全性。

授权（Authorization）​

授权是控制用户对资源的访问权限的过程。Elasticsearch 使用 角色（Roles） 来管理权限。

创建角色​

可以通过 Elasticsearch 的 API 来创建角色，并为其分配权限。

bash
curl -u myuser:mypassword -X POST "http://localhost:9200/_security/role/my_role" -H 'Content-Type: application/json' -d'
{
  "cluster": ["monitor"],
  "indices": [
    {
      "names": ["my_index"],
      "privileges": ["read"]
    }
  ]
}'

分配角色给用户​

创建角色后，可以将角色分配给用户。

bash
curl -u myuser:mypassword -X POST "http://localhost:9200/_security/user/myuser" -H 'Content-Type: application/json' -d'
{
  "password": "mypassword",
  "roles": ["my_role"]
}'
提示

建议为每个用户分配最小权限，以减少潜在的安全风险。

加密（Encryption）​

加密是保护数据在传输和存储过程中不被窃取或篡改的重要手段。Elasticsearch 支持 TLS/SSL 加密。

配置 TLS/SSL​

首先，生成证书和密钥：

bash
bin/elasticsearch-certutil cert -out config/elastic-certificates.p12 -pass ""

然后，在 elasticsearch.yml 中配置 TLS/SSL：

yaml
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: elastic-certificates.p12
警告

确保证书和密钥的安全存储，避免泄露。

审计（Auditing）​

审计是记录用户操作日志的过程，便于事后审计和问题排查。Elasticsearch 提供了审计日志功能。

启用审计日志​

在 elasticsearch.yml 中启用审计日志：

yaml
xpack.security.audit.enabled: true
xpack.security.audit.logfile.events.include: ["access_granted", "access_denied"]

查看审计日志​

审计日志默认存储在 logs/audit.log 中，可以通过以下命令查看：

bash
tail -f logs/audit.log

实际案例​

假设我们有一个 Elasticsearch 集群，存储了公司的敏感数据。为了保护这些数据，我们需要配置以下安全措施：

  1. 认证：使用内置用户认证，创建管理员用户和普通用户。
  2. 授权：为普通用户分配只读权限，限制其对敏感数据的访问。
  3. 加密：配置 TLS/SSL，确保数据在传输过程中的安全性。
  4. 审计：启用审计日志，记录所有用户的操作。

通过以上配置，我们可以有效地保护 Elasticsearch 集群免受未经授权的访问和攻击。

总结​

Elasticsearch 安全框架提供了全面的安全机制，包括认证、授权、加密和审计。通过合理配置这些机制，可以有效地保护 Elasticsearch 集群的安全性。

附加资源​

练习​

  1. 创建一个新的 Elasticsearch 用户，并为其分配只读权限。
  2. 配置 TLS/SSL，确保数据在传输过程中的安全性。
  3. 启用审计日志，并查看日志内容。

通过完成这些练习，你将更好地理解 Elasticsearch 安全框架的工作原理，并能够在实际项目中应用这些知识。