Elasticsearch 7.x如何设置用户名密码开启x-pack验证

发布时间：2022-01-04 17:57:26 作者：柒染
来源：亿速云阅读：1044

# Elasticsearch 7.x如何设置用户名密码开启x-pack验证

## 前言

在Elasticsearch的生产环境中，安全认证是必不可少的环节。Elasticsearch从6.8版本开始将X-Pack的基础安全功能（包括认证授权）集成到开源版本中，7.x版本延续了这一特性。本文将详细介绍如何在Elasticsearch 7.x中配置用户名密码认证，启用X-Pack的安全功能。

## 环境准备

1. 已安装Elasticsearch 7.x（单节点或集群）
2. 操作系统：Linux/Windows/Mac均可（本文以Linux为例）
3. 确保elasticsearch服务已停止（修改配置前需要停止服务）

## 配置步骤

### 1. 修改elasticsearch.yml配置

编辑`config/elasticsearch.yml`文件，添加以下配置：

```yaml
# 启用X-Pack安全功能
xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true

# 如果是集群需要额外配置
# discovery.type: single-node  # 单节点模式
# cluster.initial_master_nodes: ["node-1"] # 集群初始化节点

2. 生成节点证书（可选但推荐）

执行以下命令生成TLS证书：

./bin/elasticsearch-certutil cert -out config/elastic-certificates.p12 -pass ""

然后在elasticsearch.yml中添加：

xpack.security.transport.ssl.keystore.type: PKCS12
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: elastic-certificates.p12

3. 启动Elasticsearch

./bin/elasticsearch -d  # 后台启动

4. 设置内置用户密码

Elasticsearch提供以下内置用户： - elastic：超级用户 - kibana_system：Kibana系统用户 - logstash_system：Logstash系统用户 - beats_system：Beats系统用户 - apm_system：APM系统用户 - remote_monitoring_user：远程监控用户

执行密码设置命令：

./bin/elasticsearch-setup-passwords interactive

系统会提示为每个内置用户设置密码，建议使用强密码并妥善保存。

5. 验证认证是否生效

使用curl测试（注意替换密码）：

curl -u elastic:yourpassword -XGET 'http://localhost:9200/_security/_authenticate'

成功会返回用户信息：

{
  "username": "elastic",
  "roles": ["superuser"],
  "full_name": null,
  "email": null,
  "metadata": {},
  "enabled": true
}

常见问题解决方案

1. 密码忘记怎么办？

可以通过以下步骤重置： 1. 停止Elasticsearch 2. 临时关闭安全认证 3. 启动后使用API重置密码 4. 重新启用安全认证

2. 如何添加自定义用户？

使用Kibana的Security功能或Elasticsearch API：

curl -u elastic -X POST "localhost:9200/_security/user/john_doe?pretty" -H 'Content-Type: application/json' -d'
{
  "password" : "userpassword",
  "roles" : [ "read_only", "custom_role" ],
  "full_name" : "John Doe",
  "email" : "john@example.com"
}
'

3. 性能影响评估

启用安全认证后，性能影响主要来自： - TLS加密/解密开销（约5-10%性能下降） - 认证授权检查（约2-5%性能下降）建议在生产环境务必启用，开发环境可酌情关闭

最佳实践建议

密码策略：
- 定期轮换密码（90天）
- 使用密码管理工具存储
- 避免使用默认密码
权限控制：
- 遵循最小权限原则
- 为不同角色创建不同用户
- 定期审计用户权限
日志监控：
- 启用安全审计日志
- 监控失败登录尝试
- 设置异常登录告警

结语

通过本文的步骤，您已成功为Elasticsearch 7.x启用了X-Pack安全认证。安全配置是Elasticsearch生产部署的基础要求，建议结合网络防火墙、TLS加密等多层防护措施构建完整的安全体系。随着业务发展，可进一步探索角色映射、文档级安全等高级特性。

注意：本文适用于Elasticsearch 7.0-7.17版本，更高版本可能有配置差异，请参考官方文档。 “`

这篇文章共计约850字，采用Markdown格式编写，包含配置步骤、常见问题解决和最佳实践等内容，适合作为技术文档使用。