Безопасные настройки

Некоторые настройки являются конфиденциальными, и полагаться на права доступа к файловой системе для защиты их значений недостаточно. В этом случае Elasticsearch предоставляет хранилище ключей и инструмент elasticsearch-keystore для управления настройками в хранилище ключей.

Все изменения в хранилище ключей вступают в силу только после перезапуска Elasticsearch.

Эти настройки, как и обычные настройки в файле конфигурации elasticsearch.yml, должны быть указаны на каждом узле кластера. В настоящее время все безопасные настройки являются узловыми настройками, которые должны иметь одинаковое значение на каждом узле.

Как и значения настроек в elasticsearch.yml, изменения содержимого хранилища ключей не применяются автоматически к работающему узлу Elasticsearch. Для повторного чтения настроек требуется перезапуск узла. Однако некоторые безопасные настройки помечены как перезагружаемые. Такие настройки можно перечитать и применить на работающем узле.

Значения всех безопасных настроек, перезагружаемые или нет, должны быть идентичными на всех узлах кластера. После внесения необходимых изменений безопасных настроек, используя команду bin/elasticsearch-keystore add, вызовите:

POST _nodes/reload_secure_settings
{
  "secure_settings_password": "keystore-password" 
}

Этот API расшифровывает и повторно считывает все хранилище ключей на каждом узле кластера, но применяются только перезагружаемые безопасные настройки. Изменения в других настройках не вступят в силу до следующего перезапуска. После возврата вызова перезагрузка завершена, что означает, что все внутренние структуры данных, зависящие от этих настроек, были изменены. Всё должно выглядеть так, как если бы настройки имели новое значение с самого начала.

При изменении нескольких перезагружаемых безопасных настроек измените их на каждом узле кластера, затем вызовите reload_secure_settings вызов вместо перезагрузки после каждого изменения.

Существуют перезагружаемые безопасные настройки для: