Docker Elastic Stack 启用https

HTTPS不启用的话，很多功能无法使用，例如启用Fleet之后，我在客户机安装agent，却始终无法enroll，提示：fail to enroll: fail to execute request to fleet-server: fail to read original error: read tcp 172.30.2.196:33106->172.30.2.108:8220: read: connection reset by peer

查询后，说是需要https才行，然后摸索了好几天才搞定。

环境：

安装Elastic Stack：  https://blog.51cto.com/helpdesk/11339212

启用Fleet： https://blog.51cto.com/helpdesk/11399936

1.- 生成CA证书

通过 docker ps 找到 container ID

进入elasticsearch

docker exec -it ffc20b2ca593 /bin/bash

进入bin文件夹

输入命令：elasticsearch-certutil ca

按默认回车即可，不需设置密码

生成证书，默认在 /usr/share/elasticsearch/elastic-stack-ca.p12

基于CA继续生成节点证书

继续输入命令：elasticsearch-certutil cert --ca elastic-stack-ca.p12

按默认回车即可，不需设置密码

默认保存在 /usr/share/elasticsearch/elastic-certificates.p12

输入 exit 退出container

编辑elasticsearch yml文件，启用对应选项和添加这2个证书

vim /docker-elk/elasticsearch/config/elasticsearch.yml

添加如下红框中的参数

具体如下，注意，要将证书放在config文件夹里（/usr/share/elasticsearch/config/），不然会提示没有权限

xpack.security.transport.ssl.enabled: true

xpack.security.transport.ssl.verification_mode: certificate

xpack.security.transport.ssl.client_authentication: required

xpack.security.transport.ssl.keystore.path: /usr/share/elasticsearch/config/elastic-certificates.p12

xpack.security.transport.ssl.truststore.path: /usr/share/elasticsearch/config/elastic-certificates.p12

保存退出，继续去生成elastic search和kibana之间通讯需要的http证书

再次进入elasticsearch

docker exec -it ffc20b2ca593 /bin/bash

先将2个证书复制到 config文件夹

cp elastic-* ./config/

这次就不进入bin文件夹，直接执行命令：

./bin/elasticsearch-certutil http

第一步提示生成CSR，选 no

第二步使用已有CA，选 yes

第三步 CA路径，输入完整的证书路径：

后面提示密码，直接回车即可

默认证书有效期5年，默认回车即可

为每个节点生成单独证书，选 no

设置hostname，IP，默认回车即可

确认不输入，选 yes

IP也为空，回车即可

确认不需要IP，继续回车

默认的SAN，选 no，不需更改

http.p12密码，不需要，回车即可

默认保存路径和文件名，回车即可

完成后提示

Zip file written to /usr/share/elasticsearch/elasticsearch-ssl-http.zip

输入 unzip elasticsearch-ssl-http.zip

解压在当前路径下会有 elasticsearch 和 kibana 2个文件夹

将 http.p12 复制到 /usr/share/elasticsearch/config/ 中

cp ./elasticsearch/http.p12 ./config/

然后输入 exit 退出 container

将 elastic search container 里面的 kibana文件夹里的证书复制出来

docker cp ffc20b2ca593:/usr/share/elasticsearch/kibana/elasticsearch-ca.pem ./

然后传到 kibana的config文件夹中

 docker cp ./elasticsearch-ca.pem 5d24eac4c00f:/usr/share/kibana/config/

编辑elasticsearch yml文件，添加http证书

vim /docker-elk/elasticsearch/config/elasticsearch.yml

具体如下：

xpack.security.http.ssl.enabled: true

xpack.security.http.ssl.keystore.path: /usr/share/elasticsearch/config/http.p12

接着添加证书到 kibana yml

具体如下：

elasticsearch.ssl.certificateAuthorities: /usr/share/kibana/config/elasticsearch-ca.pem

2.- 创建浏览器与kibana之间的 https认证

继续进入elasticsearch container

docker exec -it ffc20b2ca593 /bin/bash

输入命令：./bin/elasticsearch-certutil csr -name kibana-server -dns example.com,www.example.com

默认回车即可

默认生成 csr-bundle.zip文件

解压出来会在 kibana-server这个文件夹里有2个key文件

根据这2个key生成1个自签证书

命令：openssl x509 -req -in ./kibana-server/kibana-server.csr -signkey ./kibana-server/kibana-server.key -out kibana-server/kibana-server.crt

输入 exit 退出 elasticsearch container

将证书copy到本机然后再传到 kibana container config文件夹里

docker cp -a ffc20b2ca593:/usr/share/elasticsearch/kibana-server/ ./

然后将crt 和 key文件传到 kiban的config文件夹

docker cp ./kibana-server/kibana-server.crt 5d24eac4c00f:/usr/share/kibana/config/

docker cp ./kibana-server/kibana-server.key 5d24eac4c00f:/usr/share/kibana/config/

添加参数到kibana yml

具体如下：

server.ssl.enabled: true

server.ssl.certificate: /usr/share/kibana/config/kibana-server.crt

server.ssl.key: /usr/share/kibana/config/kibana-server.key

同时将所有 http地址改为 https

重启docker服务

sudo service docker restart

再次打开kiban网页，点 accept risk 即可见到熟悉的登陆界面

传到 kibana container里去

原创作者: helpdesk 转载于: https://blog.51cto.com/helpdesk/11500016