Question

ELK的基本用户名/密码验证，我能够在Windows平台上使用searchguard实现。

Now i am trying to establish secure communication. I have performed the following changes,

在elasticsearch.yml

    searchguard.ssl.http.enabled: true
    searchguard.ssl.http.keystore_filepath: D:\Softwares\ELK\elasticsearch-5.4.0\elasticsearch-5.4.0\config\CN=localhost-keystore.jks
    searchguard.ssl.http.keystore_password: 221749a2add117cf889f
    searchguard.ssl.http.truststore_filepath: D:\Softwares\ELK\elasticsearch-5.4.0\elasticsearch-5.4.0\config\truststore.jks 
    searchguard.ssl.http.truststore_password: 6d6cf1cc017dc874960b 

    searchguard.authcz.admin_dn:                                
      - CN=sgadmin 

    searchguard.ssl.transport.keystore_filepath: D:\Softwares\ELK\elasticsearch-5.4.0\elasticsearch-5.4.0\config\CN=localhost-keystore.jks
    searchguard.ssl.transport.keystore_password: 221749a2add117cf889f 
    searchguard.ssl.transport.truststore_filepath: D:\Softwares\ELK\elasticsearch-5.4.0\elasticsearch-5.4.0\config\truststore.jks 
    searchguard.ssl.transport.truststore_password: 6d6cf1cc017dc874960b

在Kibana.yml

elasticsearch.url: "https://localhost:9200"  
elasticsearch.username: "admin"  
elasticsearch.password: "admin"

如果我使用http://localhost:5601登录kibana，则会询问用户名和密码。我不知道在这里输入什么凭证。我试过admin / admin。它不起作用。在我提供searchguard.ssl.http ....配置之前， admin / admin 工作正常。

在我添加了所有与searchguard.ssl.http相关的配置后，凭证无效。

我确信在kibana.yml w.r.t searchguard配置中还有其他一些配置。我无法在网上找到它。任何人都可以在这里帮助我找不到的东西。

Answer 1

在REST层启用TLS对用户身份验证/授权没有任何影响。唯一的区别是：

如果在REST层上启用TLS，则仅允许HTTPS访问。如果您尝试使用HTTP
如果在REST层上禁用TLS，则仅允许HTTP访问。如果您尝试使用HTTPS访问ES，则会看到错误消息。

Search Guard将根据sg_config.yml中配置的身份验证后端对凭据进行身份验证。如果使用Search Guard附带的默认配置，它将使用内部用户数据库和internal_users.yml中定义的用户。默认的“admin”用户具有对所有索引和类型的完全访问权限，因此您应该能够使用此用户登录Kibana。如果您需要具有有限访问权限的用户，则相应的演示用户为“kibanaro”。请参阅internal_users.yml以查看所有演示用户。

从ES 5.0.2开始，您需要安装Search Guard Kibana插件以进行完全身份验证和会话支持。您可以在相应的GitHub repository上找到该插件。您可以像任何其他Kibana插件一样安装它，例如：

bin / kibana-plugin install https://github.com/floragunncom/search-guard-kibana-plugin/releases/download/v5.4.3-3/searchguard-kibana-5.4.3-3.zip

如果您不需要多租户或JWT单点登录等高级内容，它应该启动并开箱即用。

如果这没有帮助，请在尝试登录时发布Elasticsearch日志文件的输出。

免责声明：我为Search Guard的制作人floragunn工作。

在ELK中搜索SSL通信

1 个答案: