当前位置：首页 > article >正文

elasticsearch集群部署及加密通讯

article 2024/11/29 18:10:59

原文地址：elasticsearch集群部署及加密通讯 – 无敌牛

欢迎参观我的个人博客：无敌牛 – 技术/著作/典籍/分享等

第零步，准备

给各台设备配置虚拟主机名，这样集群不依赖IP，即使IP变动，改动也更方便。参考往期文章：https://www.madbull.site/?p=1094 第三步 3.2 一节。

第一步，颁发证书

本次文章自建CA根证书，以自建证书给各个子节点颁发服务端证书。

参看这篇文章：https://www.madbull.site/?p=1111 自建根证书，并用此根证书给三个设备分别颁发证书。

注意：在创建服务端证书时，用到的 csr.conf 文件中，commonName 和 alt_names 配置要根据自己的实际情况做相应修改。

第二步，修改配置文件

修改 /etc/elasticsearch/elasticsearch.yml 文件，内容如下：

cluster.name: CLUSTERNAMEXXX
node.name: xxxxnode1

path.data: /data/xxxx/data 
path.logs: /data/xxxx/logs
path.repo: /data/xxxx/esbackup

bootstrap.memory_lock: true
network.host: xxxxnode1, 127.0.0.1
discovery.seed_hosts: ["xxxxnode1", "xxxxnode2", "xxxxnode3"]

action.destructive_requires_name: false

xpack.security.enabled: true

xpack.security.enrollment.enabled: true

xpack.security.http.ssl:
  enabled: true
  key: certs/private.key
  certificate: certs/public.crt
  certificate_authorities: certs/CAs/myCA.crt
  verification_mode: certificate

xpack.security.transport.ssl:
  enabled: true
  verification_mode: certificate
  key: certs/private.key
  certificate: certs/public.crt
  certificate_authorities: certs/CAs/myCA.crt

cluster.initial_master_nodes: ["xxxxnode1", "xxxxnode2", "xxxxnode3"]

配置项解释：

cluster.name: 集群名称，同一个集群里的各个节点，配置相同集群名称。

node.name: 当前服务节点名称，在集群里名字是唯一的

path.data: 数据保存路径

path.logs: 日志存储路径

path.repo: 数据库快照备份路径

bootstrap.memory_lock: 是否锁定内存，不允许磁盘交换。如果大内存，可以设置为true；否则内存空间不够则可能数据库服务启动失败。

network.host: 如果不考虑设备有多个IP的情况，可以直接配置成 0.0.0.0 或者 _site_。集群需要跨主机访问，所以需要开放端口，不能只绑定在 _local_ 或者 127.0.0.1 。

discovery.seed_host: 用于发现集群中其他节点的初始主机列表。

action.destructive_requires_name: 控制执行某些破坏性操作，设置 false 操作验证会减少。

xpack.security.enabled: 是否启用xpack安全特征，包括认证、授权和加密等。

xpack.security.enrollment.enabled: 是否启用节点自动加入集群。