ElasticSearch 实战：安全策略 - 开启密码账号访问

要在Elasticsearch集群中开启密码账号访问，以实现更严格的安全控制，可以遵循以下步骤来配置和启用身份验证、授权和账户管理功能。以下是一个基于Elasticsearch 7.x版本的实战指南：

一、安装与启用X-Pack Security

1. 确保X-Pack已安装：
   确认Elasticsearch是否已经安装了包含Security模块的X-Pack。如果未安装，需要先安装X-Pack。对于付费订阅用户，这通常在安装Elasticsearch时就已经包含。对于开源用户，可能需要升级到Elasticsearch的付费版本或使用Open Distro for Elasticsearch等替代解决方案。

2. 启用Security模块：
   在Elasticsearch的elasticsearch.yml配置文件中，启用Security模块：

   xpack.security.enabled: true
   

   重启Elasticsearch集群以使配置生效。

二、初始化密码

首次启用Security时，需要为内置用户（如elastic、kibana、logstash_system等）设置初始密码。使用以下命令：

./bin/elasticsearch-setup-passwords interactive

按照提示为各个内置用户设置密码。如果在非交互环境下部署，可以使用auto模式自动生成随机密码，或者使用batch模式结合--batch参数和用户与密码列表文件来批量设置。

三、配置身份验证

**1. HTTP Basic Auth：

默认情况下，Elasticsearch启用HTTP Basic Authentication。客户端（如curl、Kibana、Logstash等）在连接Elasticsearch时需提供经过Base64编码的用户名和密码。

**2. SSL/TLS加密：

强烈建议启用SSL/TLS以加密通信，防止密码在传输过程中被窃听。配置如下：

xpack.security.transport.ssl.enabled: true
xpack.security.http.ssl.enabled: true

# 配置证书、私钥和信任证书链路径
xpack.security.transport.ssl.keystore.path: /path/to/keystore.p12
xpack.security.transport.ssl.truststore.path: /path/to/truststore.p12

# HTTP端口上的类似配置
xpack.security.http.ssl.keystore.path: /path/to/http_keystore.p12
xpack.security.http.ssl.truststore.path: /path/to/http_truststore.p12

四、设置角色与权限

**1. 内置角色：

Elasticsearch提供了若干内置角色，如superuser、monitoring_user、kibana_system等，它们具有预定义的权限集。可根据需要为用户分配这些角色。

**2. 自定义角色：

若内置角色不能满足需求，可以创建自定义角色并为其分配索引权限、集群权限等。使用以下命令创建角色：

POST /_security/role/my_custom_role
{
  "indices": [
    {
      "names": ["my_index*"],
      "privileges": ["read"]
    }
  ],
  "cluster": ["monitor"]
}

五、管理用户

**1. 创建用户：

创建新用户并为其分配角色：

POST /_security/user/new_user
{
  "password": "secure_password",
  "roles": ["my_custom_role"]
}

**2. 更新用户：

修改用户密码或角色：

PUT /_security/user/new_user
{
  "password": "new_secure_password",
  "roles": ["new_role"]
}

**3. 禁用/启用用户：

PUT /_security/user/new_user/_disable  # 禁用用户
PUT /_security/user/new_user/_enable  # 启用用户

六、验证与测试

确保客户端（如Kibana、Logstash、curl等）使用正确的用户名、密码和（如果启用）SSL/TLS配置进行连接。测试能否正常执行索引、查询、管理等操作，验证权限设置是否生效。

通过以上步骤，您已在Elasticsearch集群中成功开启了密码账号访问，并实施了基本的角色与权限管理。后续可以根据实际需求进一步细化权限控制、设置IP白名单、启用审计日志等功能，以提升整个系统的安全性。务必定期更新密码、监控安全相关日志，并遵循安全最佳实践。