एलिस्टिक्स खोज को कैसे कॉन्फ़िगर करें ताकि कोई लीक न हो

जांचें कि क्या डेटाबेस "चिपका" है

हम डेटाबेस से कनेक्शन की रक्षा करते हैं

curl https://d3g5vo6xdbdb9a.cloudfront.net/yum/opendistroforelasticsearch-artifacts.repo -o /etc/yum.repos.d/opendistroforelasticsearch-artifacts.repo

yum update

yum install opendistro-security

wget -qO ‐ https://d3g5vo6xdbdb9a.cloudfront.net/GPG-KEY-opendistroforelasticsearch | sudo apt-key add -

हम एसएसएल के माध्यम से सर्वर के बीच बातचीत को कॉन्फ़िगर करते हैं

1. पूरी तरह से योग्य डोमेन नाम के साथ एक चर बनाएं:
   
   

   export DOMAIN_CN="example.com"

2. एक निजी कुंजी बनाएँ:
   
   

   openssl genrsa -out root-ca-key.pem 4096

3. हम रूट प्रमाणपत्र पर हस्ताक्षर करते हैं। इसे अपनी आंख के सेब के रूप में रखें: यदि यह खो जाता है या समझौता हो जाता है, तो सभी मेजबानों के बीच विश्वास को फिर से जोड़ने की आवश्यकता होगी।
   
   

   openssl req -new -x509 -sha256 \-subj "/C=RU/ST=Moscow/O=Moscow, Inc./CN=${DOMAIN_CN}" \
   -key root-ca-key.pem -out root-ca.pem

4. एक व्यवस्थापक कुंजी बनाएँ:
   
   

   openssl genrsa -out admin-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in admin-key-temp.pem -topk8 -nocrypt \
   -v1 PBE-SHA1-3DES -out admin-key.pem

5. प्रमाण पत्र पर हस्ताक्षर करने के लिए एक अनुरोध बनाएँ:
   
   

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${DOMAIN_CN}/CN=admin " \
   -key admin-key.pem -out admin.csr

6. एक व्यवस्थापक प्रमाणपत्र बनाएं:
   
   

   openssl x509 -req -extensions usr_cert -in admin.csr -CA root-ca.pem \
   -CAkey root-ca-key.pem -CAcreateserial -sha256 -out admin.pem

7. एलिस्टिक्स खोज नोड के लिए प्रमाण पत्र बनाएं:
   
   

   export NODENAME="node-01"
   openssl genrsa -out ${NODENAME}-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in ${NODENAME}-key-temp.pem -topk8 -nocrypt \
   -v1 PBE-SHA1-3DES -out ${NODENAME}-key.pem

8. हस्ताक्षर के लिए एक अनुरोध बनाएँ:
   
   

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${NODENAME}.${DOMAIN_CN}" \ 
   -addext"subjectAltName=DNS:${NODENAME}.${DOMAIN_CN},DNS:www.${NODENAME}.${DOMAIN_CN}" \
   -key ${NODENAME}-key.pem -out ${NODENAME}.csr

9. हम प्रमाण पत्र पर हस्ताक्षर करते हैं:
   
   

   openssl x509 -req -in node.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial \
   -sha256 -out node.pem

10. हम फ़ोल्डर में एलियस्टिक्स खोज नोड्स के बीच प्रमाण पत्र को विघटित करते हैं:
    
    

    /etc/elasticsearch/

    
    हमें फ़ाइलों की आवश्यकता है:
    
    

            node-01-key.pem
    	node-01.pem
    	admin-key.pem
    	admin.pem
    	root-ca.pem

11. /Etc/elasticsearch/elasticsearch.yml सेट करें - प्रमाणपत्र फ़ाइलों का नाम हमारे द्वारा जनरेट किए गए नामों में बदलें:
    
    

    opendistro_security.ssl.transport.pemcert_filepath: node-01.pem                                                                                                                                                                                    
    	opendistro_security.ssl.transport.pemkey_filepath: node-01-key.pem                                                                                                                                                                                 
    	opendistro_security.ssl.transport.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                              
    	opendistro_security.ssl.transport.enforce_hostname_verification: false                                                                                                                                                                             
    	opendistro_security.ssl.http.enabled: true                                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemcert_filepath: node-01.pem                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemkey_filepath: node-01-key.pem                                                                                                                                                                                      
    	opendistro_security.ssl.http.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                                   
    	opendistro_security.allow_unsafe_democertificates: false                                                                                                                                                                                           
    	opendistro_security.allow_default_init_securityindex: true                                                                                                                                                                                         
    	opendistro_security.authcz.admin_dn:                                                                                                                                                                                                               
    	  − CN=admin,CN=example.com,O=Moscow Inc.,ST=Moscow,C=RU                                                                                                                                                                                                  
    	opendistro_security.nodes_dn:                                                                                                                                                                                                                      
    	  − CN=node-01.example.com,O=Moscow Inc.,ST=Moscow,C=RU

हम आंतरिक उपयोगकर्ताओं के पासवर्ड बदलते हैं

1. नीचे दिए गए कमांड का उपयोग करते हुए, हम कंसोल में पासवर्ड हैश प्रदर्शित करते हैं:
   
   

   sh ${OD_SEC}/tools/hash.sh -p []

2. प्राप्त फ़ाइल में हैश को बदलें:
   
   

   /usr/share/elasticsearch/plugins/opendistro_security/securityconfig/internal_users.yml

OS में फ़ायरवॉल को कॉन्फ़िगर करें

1. फ़ायरवॉल के लॉन्च की अनुमति दें:
   
   

   systemctl enable firewalld

2. चलाओ:
   
   

   systemctl start firewalld

3. हम एलियस्टिक्स खोज से कनेक्शन की अनुमति देते हैं:
   
   

   firewall-cmd --set-default-zone work
   firewall-cmd --zone=work --add-port=9200/TCP --permanent

4. रिबूट करना फ़ायरवॉल नियम:
   
   

   firewall-cmd --reload

5. हम काम के नियमों को प्राप्त करते हैं:
   
   

   firewall-cmd --list-all

हमारे सभी परिवर्तनों को Elasticsearch पर लागू करें

1. प्लगइन के साथ फ़ोल्डर के लिए पूर्ण पथ के साथ एक चर बनाएँ:
   
   

   export  OD_SEC="/usr/share/elasticsearch/plugins/opendistro_security/"

2. एक स्क्रिप्ट चलाएं जो पासवर्ड को अपडेट करेगा और सेटिंग्स की जांच करेगा:
   
   

   ${OD_SEC}/tools/securityadmin.sh -cd ${OD_SEC}/securityconfig/ \
   -icl -nhnv -cacert /etc/elasticsearch/root-ca.pem \
   -cert /etc/elasticsearch/admin.pem \ 
   -key /etc/elasticsearch/admin-key.pem

3. जांचें कि क्या लागू हैं:
   
   

   curl -XGET https://[IP/ Elasticsearch]:9200/_cat/nodes?v -u admin:[] --insecure