ElasticSearch 集群添加用户安全认证功能（设置访问密码）

一、背景与问题

在分布式系统中，ElasticSearch 集群的默认配置是开放的（xpack.security.enabled: false），这意味着任何网络上的客户端都可以通过 HTTP 协议访问集群。这种开放性虽然便于快速部署和测试，但在生产环境中存在严重安全风险：未授权访问、数据泄露、恶意写入等。

随着《ElasticSearch 安全指南》的发布，官方推荐在生产环境中启用安全功能（xpack.security.enabled: true），通过用户认证、角色权限控制、HTTPS 加密等机制保障集群安全。本文将深入解析如何在集群中添加用户认证功能，设置访问密码，并探讨其原理、实现方式、常见问题和最佳实践。

二、基本原理

ElasticSearch 的安全认证系统基于以下核心组件：

1. 内置安全模块（X-Pack Security）

   • 提供用户管理、角色管理、访问控制等核心功能
   • 使用 JWT（JSON Web Token）进行会话管理
   • 支持 HTTP Basic 认证、API Key 认证、LDAP/AD 集成等

2. 用户认证流程

   • 客户端发送请求时携带认证信息（如 Basic Auth 头）
   • 集群验证用户凭据（密码、API Key 等）
   • 成功认证后生成 JWT 令牌，后续请求携带该令牌

3. 访问控制

   • 基于角色的权限管理（Role-based Access Control）
   • 可定义细粒度的权限（如 indices:read、cluster:monitor）

4. 安全协议

   • 必须启用 HTTPS（通过配置 xpack.security.http.ssl）
   • 使用 TLS 1.2 或更高版本加密通信

三、环境准备

1. 系统要求

• ElasticSearch 7.10+（支持完整的安全功能）
• Java 8 或 Java 11
• 两台或以上节点组成集群（至少一个主节点）

2. 配置文件修改（elasticsearch.yml）

# 集群配置
cluster.name: my-cluster
node.name: node1
network.host: 0.0.0.0
discovery.seed_hosts: ["192.168.1.10", "192.168.1.11"]
cluster.initial_master_nodes: ["192.168.1.10", "192.168.1.11"]

# 安全配置
xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.key_path: /path/to/elasticsearch-ssl.key
xpack.security.transport.ssl.certificate_path: /path/to/elasticsearch-ssl.crt
xpack.security.transport.ssl.certificate_authorities: /path/to/ca.crt
xpack.security.http.ssl.enabled: true

3. 生成 SSL 证书（可选）

# 生成 CA 证书
openssl req -new -x509 -days 365 -nodes -out ca.crt -keyout ca.key

# 生成节点证书
openssl req -new -nodes -out node1.csr -keyout node1.key
openssl x509 -req -in node1.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out node1.crt -days 365

四、核心实现

1. 启用安全功能并重启集群

# 修改配置文件后重启所有节点
systemctl restart elasticsearch

2. 创建用户和角色（使用 elasticsearch-users 工具）

# 创建用户
elasticsearch-users useradd admin --roles "superuser"

# 查看用户信息
elasticsearch-users user_info admin

3. 配置用户访问控制（通过 REST API）

# 创建角色（需先启用 HTTP 认证）
curl -u elastic -X POST "http://localhost:9200/_security/role/my_role" -H "Content-Type: application/json" -d'
{
  "cluster": ["manage"],
  "indices": [
    {
      "names": ["*"],
      "privileges": ["read", "search"]
    }
  ]
}
'

# 创建用户并绑定角色
curl -u elastic -X POST "http://localhost:9200/_security/user/my_user" -H "Content-Type: application/json" -d'
{
  "password" : "secure_password",
  "roles" : ["my_role"]
}
'

4. 验证用户认证（使用 curl 命令）

# 未认证请求
curl http://localhost:9200/_cluster/health

# 认证请求（Basic Auth）
curl -u my_user:secure_password http://localhost:9200/_cluster/health

五、完整案例

1. 案例目标

创建一个包含两个节点的集群，启用安全认证，添加用户并测试访问控制。

2. 案例步骤

步骤 1：配置集群

• 节点1配置（elasticsearch.yml）：

  cluster.name: my-cluster
  node.name: node1
  network.host: 0.0.0.0
  discovery.seed_hosts: ["192.168.1.10", "192.168.1.11"]
  cluster.initial_master_nodes: ["192.168.1.10", "192.168.1.11"]
  xpack.security.enabled: true

• 节点2配置（elasticsearch.yml）：

  cluster.name: my-cluster
  node.name: node2
  network.host: 0.0.0.0
  discovery.seed_hosts: ["192.168.1.10", "192.168.1.11"]
  cluster.initial_master_nodes: ["192.168.1.10", "192.168.1.11"]
  xpack.security.enabled: true

步骤 2：生成 SSL 证书

# 创建 CA 证书
openssl req -new -x509 -days 365 -nodes -out ca.crt -keyout ca.key

# 创建节点证书
openssl req -new -nodes -out node1.csr -keyout node1.key
openssl x509 -req -in node1.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out node1.crt -days 365

# 将证书复制到节点2
scp node1.crt node1.key ca.crt node2:/path/to/

步骤 3：启动集群

# 节点1
systemctl start elasticsearch

# 节点2
systemctl start elasticsearch

步骤 4：创建用户并测试访问

# 创建用户
elasticsearch-users useradd test_user --roles "viewer"

# 认证测试
curl -u test_user:password http://localhost:9200/_cluster/health

六、源码解析

1. 认证流程源码（SecurityConfig.java）

public class SecurityConfig {
    public void enableSecurity() {
        // 配置 SSL 证书
        configureSSL();
        // 启用 HTTP 认证
        enableHttpAuth();
        // 初始化用户存储
        initializeUserStore();
    }

    private void configureSSL() {
        // 配置 transport 和 HTTP 的 SSL 证书
        // 验证证书链、设置协议版本
    }

    private void enableHttpAuth() {
        // 注册 Basic Auth、API Key 等认证方式
        registerAuthProviders();
    }

    private void initializeUserStore() {
        // 初始化内存或 LDAP 用户存储
        userStore = new UserStore();
    }
}

2. 用户认证流程（AuthenticationFilter.java）

public class AuthenticationFilter {
    public boolean authenticate(String username, String password) {
        // 验证用户是否存在
        if (!userStore.userExists(username)) {
            return false;
        }

        // 验证密码
        if (!userStore.verifyPassword(username, password)) {
            return false;
        }

        // 生成 JWT 令牌
        return generateJwtToken(username);
    }

    private boolean generateJwtToken(String username) {
        // 使用 HmacSHA256 签名，设置有效期
        return signJwt(username);
    }
}

七、进阶使用

1. 使用 API Key 认证

# 创建 API Key
curl -u elastic -X POST "http://localhost:9200/_security/user/_api_key" -H "Content-Type: application/json" -d'
{
  "name": "my_api_key"
}
'

# 使用 API Key 认证
curl -H "Authorization: ApiKey my_api_key" http://localhost:9200/_cluster/health

2. 集成 LDAP/AD

# 配置 LDAP 认证
xpack.security.authc.realms.ldap1.type: ldap
xpack.security.authc.realms.ldap1.url: "ldap://ldap.example.com:389"
xpack.security.authc.realms.ldap1.user_search.base_dn: "OU=Users,DC=example,DC=com"
xpack.security.authc.realms.ldap1.user_search.filter: "(sAMAccountName={0})"

3. 动态权限管理

# 动态更新用户角色
curl -u elastic -X POST "http://localhost:9200/_security/user/my_user/_roles" -H "Content-Type: application/json" -d'
{
  "roles" : ["admin"]
}
'

八、性能与工程实践

1. 性能优化

• 缓存 JWT 令牌：避免重复签名
• 压缩证书：减少传输开销
• 批量认证请求：减少网络往返

2. 异常处理

• 超时处理：为 HTTP 请求设置超时时间
• 重试机制：在短暂网络波动时重试认证
• 日志监控：记录失败的认证尝试

3. 安全风险

• 密码存储：使用 PBKDF2 或 bcrypt 加密
• 证书管理：定期更新证书，避免使用过期证书
• 中间人攻击：必须启用 HTTPS，禁用明文传输

九、常见问题与踩坑

1. 常见错误

2. 特殊场景

• 跨域访问：需在前端添加 CORS 配置
• Kibana 集成：需配置 elasticsearch.yml 的 xpack.security.http.ssl 和 xpack.security.authc

十、最佳实践

1. 推荐方案

• 生产环境：启用全部安全功能（xpack.security.enabled: true）
• 用户管理：使用内置工具 elasticsearch-users 管理用户
• 权限控制：基于角色的最小权限原则（RBAC）
• 通信加密：强制使用 HTTPS，禁用 HTTP 明文传输

2. 不推荐方案

• 测试环境：默认关闭安全功能（xpack.security.enabled: false）
• 简单场景：使用 API Key 认证（适合短期项目）
• 跨域场景：未配置 CORS 导致浏览器安全限制

十一、总结

ElasticSearch 的安全认证功能是构建可靠分布式系统的关键组件。通过启用 xpack.security，结合用户管理、角色权限和 HTTPS 加密，可以有效防范未授权访问和数据泄露。本文深入解析了其工作原理、实现方式和常见问题，并提供了完整的代码示例和最佳实践。

在实际开发中，应根据项目规模和安全需求选择合适的认证方案。对于生产环境，务必启用安全功能，定期更新证书和用户权限，避免因配置不当导致的安全漏洞。通过合理规划和实践，可以确保 ElasticSearch 集群在复杂业务场景下的安全性和稳定性。