Elasticsearch权限监控——search-guard介绍

傷城~ 2022-07-14 22:18 643阅读 0赞

**1、概述**  
search-guard是Elasticsearch的一个安全权限plugin，特性包括：  
权限控制粒度可以到indices，types，甚至可以到过滤field层次。同时也可以限制用户行为CRUD, admin权限等。

search-guard可以实现用户访问es中日志需要登陆授权，不同用户访问不同索引，不授权的索引无法查看，分组控制不同user查看各自的业务。

search-guard插件包含两部分，search-guard-ssl和search-guard-2两个插件。

**2、安装**  
**2.1 先安装search-guard-ssl插件。按照以下步骤安装。**

2.1.1 切换到elasticsearch/plugins/的目录，命令安装插件：

sudo bin/plugin install com.floragunn/search-guard-ssl/2.3.4.16

注意版本，这里elasticsearch的版本就是2.3.4，它是要跟search-guard的版本进行对应的。克隆search-guard-ssl项目，生成相关证书。克隆项目命令：

sudo git clone https://github.com/floragunncom/search-guard-ssl.git

**2.1.2 创建数字证书**  
一般来说创建数字证书流程如下：  
（1）创建ROOT CA（根证书/CA认证机构）  
（2）应用服务器创建CSR(证书签名请求文件)，同时会创建好自己的密钥对（公钥和私钥）  
（3）将CSR发送到CA认证机构  
（4）CA机构将返回一个数字签名证书

切换到刚刚克隆的search-guard-ssl的项目目录下，修改etc目录下的配置文件：

example-pki-scripts/etc/root-ca.conf 
    example-pki-scripts/etc/signing-ca.conf

根据自己情况修改相关信息等 ，利用脚本，写入密码，生成根证书。

sudo ./gen_root_ca.sh paswd paswd

search-guard-ssl还提供了以下脚本：

gen_node_cert.sh :可以修改成自己的信息，生成相应服务器证书，里面包含了上述生成数字证书的过程。
    
    gen_client_node_cert.sh :同理生成客户端数字证书。这里记住-dname参数后面的信息，后面认证客户端，就靠这个。

修改完脚本，就可以执行脚本，生成相关证书。 配置ssl。将生成的证书，keystore.jks 和 truststore.jks复制到/etc/elasticsearch/conf目录下，然后增加如下配置到elasticsearch.yml中：

searchguard.ssl.transport.enabled: true 
    searchguard.ssl.transport.keystore_filepath: example-keystore.jks 
    searchguard.ssl.transport.keystore_password: paswd 
    searchguard.ssl.transport.truststore_filepath: truststore.jks 
    searchguard.ssl.transport.truststore_password: paswd 
    searchguard.ssl.transport.enforce_hostname_verification: false 
    searchguard.ssl.transport.resolve_hostname: false
    
    //http配置，这里我只是为了测试方便，配置完，应该设置为true searchguard.ssl.http.enabled: false searchguard.ssl.http.keystore_filepath: example-keystore.jks searchguard.ssl.http.keystore_password: paswd searchguard.ssl.http.truststore_filepath: truststore.jks searchguard.ssl.http.truststore_password: paswd searchguard.allow_all_from_loopback: true //这里注意，下面的配置一定要和签的客户端证书一致，否则不能插入配置 searchguard.authcz.admin_dn: - CN=example, OU=client, O=client, L=Test, C=DE

**2.2 安装search-guard-2插件**  
**2.2.1 安装插件**

sudo bin/plugin install -b com.floragunn/search-guard-2/2.3.4.4

这里同样注意与elasticsearch版本对应。修改配置并插入。切换目录到../elasticsearch/plugins/search-guard-2/ 修改该目录下的sgconfig目下的配置文件。修改用户，角色，角色映射几个配置文件即可。

**2.2.2 配置文件介绍**  
search-guard-2主要有5个配置文件，在 plugins/search-guard-2/sgconfig 下：

（1）sg\_config.yml  
Configure authenticators and authorization backends。主配置文件不需要做改动。  
（2）sg\_internal\_users.yml  
本地用户文件，定义用户密码以及对应的权限。例如：对于 ELK 我们需要一个 kibana 登录用户和一个 logstash 用户：

kibana4:
      hash: $2a$12$xZOcnwYPYQ3zIadnlQIJ0eNhX1ngwMkTN.oMwkKxoGvDVPn4/6XtO
      #password is: kirk
      roles:
        - kibana4
    logstash:
      hash: $2a$12$xZOcnwYPYQ3zIadnlQIJ0eNhX1ngwMkTN.oMwkKxoGvDVPn4/6XtO
      #password is: kirk
      roles:
        - logstash

密码可用plugins/search-guard-2/tools/hash.sh生成。

（3）sg\_roles.yml  
权限配置文件，这里提供 kibana4 和 logstash 的权限样例。

#<sg_role_name>:
    #  cluster:
    #    - '<permission>'
    #  indices:
    #    '<indexname or alias>':
    #      '<type>':  
    #        - '<permission>'
    #      _dls_: '<querydsl query>'
    #      _fls_:
    #        - '<field>'
    #        - '<field>'
    sg_kibana4:
      cluster:
          - cluster:monitor/nodes/info       - cluster:monitor/health   indices:
        '*':
          '*':
            - indices:admin/mappings/fields/get         - indices:admin/validate/query         - indices:data/read/search         - indices:data/read/msearch         - indices:admin/get         - indices:data/read/field_stats     '?kibana':
          '*':
            - indices:admin/exists         - indices:admin/mapping/put         - indices:admin/mappings/fields/get         - indices:admin/refresh         - indices:admin/validate/query         - indices:data/read/get sg_logstash:
      cluster:
        - indices:admin/template/get     - indices:admin/template/put   indices:
        'logstash-*':
          '*':
            - WRITE         - indices:data/write/bulk         - indices:data/write/delete         - indices:data/write/update         - indices:data/read/search         - indices:data/read/scroll         - CREATE_INDEX

（4）sg\_roles\_mapping.yml  
定义用户的映射关系，添加 kibana 及 logstash 用户对应的映射：

sg_logstash:
      users:
        - logstash sg_kibana4:
      backendroles:
        - kibana   users:
        - kibana4

（5）sg\_action\_groups.yml  
定义权限

**3、启动**  
（1）到Elasticsearch的bin目录下，重启Elasticsearch。  
（2）通过下面命令启动search-guard。

sudo tools/sgadmin.sh -cd sgconfig/ -ks sgconfig/example-keystore.jks  -kspass paswd -ts sgconfig/truststore.jks -tspass paswd -nhnv

（3）访问Elasticsearch的页面，用不同的用户登录。

**4、Java 客户端访问**

//Java客户端访问配置
    Settings tsettings = ImmutableSettings
      .settingsBuilder()
      .put("searchguard.key_path", "/home/es2/bin")
      .put("client.transport.sniff", true)
      .put("searchguard.ssl.transport.node.enabled", true)
      .put("searchguard.ssl.transport.node.keystore_type", "JKS")
      .put("searchguard.ssl.transport.node.keystore_password", "kspass")
      .put("searchguard.ssl.transport.node.keystore_filepath", kf)
      .put("searchguard.ssl.transport.node.truststore_type", "JKS")
      .put("searchguard.ssl.transport.node.truststore_password", "tspass")
      .put("searchguard.ssl.transport.node.truststore_filepath", tf)
      .build();