elasticsearch-certutil

Команда elasticsearch-certutil упрощает создание сертификатов для использования с Transport Layer Security (TLS) в Elastic Stack.

bin/elasticsearch-certutil
(
(ca [--ca-dn <name>] [--days <n>] [--pem])

| (cert ([--ca <file_path>] | [--ca-cert <file_path> --ca-key <file_path>])
[--ca-dn <name>] [--ca-pass <password>] [--days <n>]
[--dns <domain_name>] [--in <input_file>] [--ip <ip_addresses>]
[--keep-ca-key] [--multiple] [--name <file_name>] [--pem] [--self-signed])

| (csr [--dns <domain_name>] [--in <input_file>] [--ip <ip_addresses>]
[--name <file_name>])

[-E <KeyValuePair>] [--keysize <bits>] [--out <file_path>]
[--pass <password>]
)

| http

[-h, --help] ([-s, --silent] | [-v, --verbose])

Вы можете указать один из следующих режимов: ca, cert, csr, http. Команда elasticsearch-certutil также поддерживает режим без вывода для упрощения пакетных операций.

Режим ca генерирует новый центр сертификации (CA). По умолчанию он создаёт один выходной файл PKCS#12, содержащий сертификат CA и закрытый ключ CA. Если вы укажете параметр --pem, команда сгенерирует zip-архив, содержащий сертификат и закрытый ключ в формате PEM.

Вы можете использовать эти файлы в качестве входных данных для режима cert команды.

Режим cert генерирует сертификаты X.509 и закрытые ключи. По умолчанию он создаёт один сертификат и ключ для использования на одном экземпляре.

Для генерации сертификатов и ключей для нескольких экземпляров укажите параметр --multiple, который запросит информацию о каждом экземпляре. В качестве альтернативы вы можете использовать параметр --in, чтобы указать файл YAML, содержащий информацию об экземплярах.

Экземпляр — это любая часть Elastic Stack, которая требует сертификат TLS или SSL. В зависимости от конфигурации Elasticsearch, Logstash, Kibana и Beats могут потребовать сертификат и закрытый ключ. Минимальная требуемая информация для экземпляра — его имя, которое используется в качестве общего имени сертификата. Имя экземпляра может быть именем хоста или полным полным доменным именем. Если имя экземпляра приведёт к недопустимому имени файла или каталога, вы также должны указать имя файла в параметре команды --name или поле filename в файле входного YAML.

Вы можете дополнительно указать IP-адреса или имена DNS для каждого экземпляра. Если не указаны ни IP-адреса, ни имена DNS, продукты Elastic Stack не смогут выполнить проверку имени хоста, и вам может потребоваться настроить параметр безопасности verification_mode на значение certificate только. Дополнительную информацию об этой настройке можно найти в Настройках безопасности.

Все сертификаты, сгенерированные этой командой, подписаны CA, если не указан параметр --self-signed. Вы можете предоставить собственный CA с помощью параметров --ca или --ca-cert и --ca-key. В противном случае команда автоматически сгенерирует новый CA. [7.11.0] Устарело в 7.11.0. Генерация сертификатов без указания сертификата и ключа CA устарела. В следующей основной версии необходимо предоставить сертификат CA, если не указан параметр --self-signed. Дополнительную информацию о генерации CA см. в режиме CA этой команды. Для генерации самоподписанных сертификатов используйте параметр --self-signed.

По умолчанию режим cert создаёт один выходной файл PKCS#12, содержащий сертификат экземпляра, закрытый ключ экземпляра и сертификат CA. Если вы укажете параметр --pem, команда сгенерирует сертификаты и ключи в формате PEM и упакует их в zip-архив. Если вы укажете параметры --keep-ca-key, --multiple или --in, команда создаст zip-архив, содержащий сгенерированные сертификаты и ключи.

Режим csr генерирует запросы на подпись сертификата (CSR), которые вы можете отправить в доверенный центр сертификации для получения подписанных сертификатов. Подписанные сертификаты должны быть в формате PEM или PKCS#12, чтобы работать с функциями безопасности Elasticsearch.

По умолчанию команда создаёт один CSR для одного экземпляра.

Для генерации CSR для нескольких экземпляров укажите параметр --multiple, который запросит информацию о каждом экземпляре. В качестве альтернативы вы можете использовать параметр --in, чтобы указать файл YAML, содержащий информацию об экземплярах.

Режим csr создаёт один zip-архив, содержащий CSR и закрытые ключи для каждого экземпляра. Каждый CSR предоставляется как стандартное кодирование PEM PKCS#10 CSR. Каждый ключ предоставляется как кодирование PEM закрытого ключа RSA.

Режим http проведет вас через процесс генерации сертификатов для использования с интерфейсом HTTP (REST) для Elasticsearch. Он задаст вам ряд вопросов для генерации нужного набора файлов. Например, в зависимости от ваших выборов, он может сгенерировать zip-архив, содержащий центр сертификации (CA), запрос на подпись сертификата (CSR) или сертификаты и ключи для использования в Elasticsearch и Kibana. Каждый каталог в zip-архиве содержит файл readme, поясняющий, как использовать файлы.

Следующая команда генерирует сертификат и закрытый ключ ЦС в формате PKCS#12:

bin/elasticsearch-certutil ca

Вам будет предложено ввести имя выходного файла и пароль. Вы также можете указать параметры --out и --pass.

Затем вы можете сгенерировать X.509-сертификаты и закрытые ключи, используя новый ЦС. Например:

bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12

Вам будет предложено ввести пароль ЦС, имя выходного файла и пароль. Вы также можете указать параметры --ca-pass, --out и --pass.

По умолчанию эта команда генерирует файл с именем elastic-certificates.p12, который можно скопировать в соответствующий каталог конфигурации для каждого продукта Elastic, который вы хотите настроить. Дополнительную информацию можно найти в разделе Шифрование межузлового взаимодействия с помощью TLS.

Для работы в бесшумном режиме необходимо создать файл YAML, содержащий информацию об экземплярах. Он должен соответствовать следующему формату:

instances:
  - name: "node1" 
    ip: 
      - "192.0.2.1"
    dns: 
      - "node1.mydomain.com"
  - name: "node2"
    ip:
      - "192.0.2.2"
      - "198.51.100.1"
  - name: "node3"
  - name: "node4"
    dns:
      - "node4.mydomain.com"
      - "node4.internal"
  - name: "CN=node5,OU=IT,DC=mydomain,DC=com"
    filename: "node5" 

После подготовки файла YAML вы можете использовать команду elasticsearch-certutil для генерации сертификатов или запросов на подписание сертификатов. Просто используйте параметр --in, чтобы указать расположение файла. Например:

bin/elasticsearch-certutil cert --silent --in instances.yml --out test1.zip --pass testpassword --keep-ca-key

Эта команда генерирует сжатый файл test1.zip. После распаковки выходного файла имеется каталог для каждого экземпляра, указанного в файле instances.yml. Каждый каталог экземпляра содержит один файл PKCS#12 (.p12), содержащий сертификат экземпляра, закрытый ключ экземпляра и сертификат ЦС.

Вы также можете использовать файл YAML для генерации запросов на подписание сертификатов. Например:

bin/elasticsearch-certutil csr --silent --in instances.yml --out test2.zip --pass testpassword

Эта команда генерирует сжатый файл, который содержит каталог для каждого экземпляра. Каждый каталог экземпляра содержит запрос на подписание сертификата (файл *.csr) и закрытый ключ (файл *.key).