elasticsearch-certutil

Команда elasticsearch-certutil упрощает создание сертификатов для использования с Transport Layer Security (TLS) в Elastic Stack.

bin/elasticsearch-certutil
(
(ca [--ca-dn <name>] [--days <n>] [--pem])

| (cert ([--ca <file_path>] | [--ca-cert <file_path> --ca-key <file_path>])
[--ca-dn <name>] [--ca-pass <password>] [--days <n>]
[--dns <domain_name>] [--in <input_file>] [--ip <ip_addresses>]
[--multiple] [--name <file_name>] [--pem] [--self-signed])

| (csr [--dns <domain_name>] [--in <input_file>] [--ip <ip_addresses>]
[--name <file_name>])

[-E <KeyValuePair>] [--keysize <bits>] [--out <file_path>]
[--pass <password>]
)

| http

[-h, --help] ([-s, --silent] | [-v, --verbose])

Можно указать один из следующих режимов: ca, cert, csr, http. Команда elasticsearch-certutil также поддерживает режим без отображения, чтобы упростить пакетные операции.

Режим ca генерирует новый центр сертификации (CA). По умолчанию он создает один выходной файл PKCS#12, который содержит сертификат CA и закрытый ключ для CA. Если вы укажете параметр --pem, команда сгенерирует zip-архив, содержащий сертификат и закрытый ключ в формате PEM.

В дальнейшем эти файлы можно использовать в качестве входных данных для режима cert команды.

Режим cert генерирует X.509 сертификаты и закрытые ключи. По умолчанию он создает один сертификат и ключ для использования на одном экземпляре.

Для генерации сертификатов и ключей для нескольких экземпляров укажите параметр --multiple, который запросит информацию о каждом экземпляре. В качестве альтернативы, можно использовать параметр --in для указания YAML-файла, содержащего данные об экземплярах.

Экземпляр — это любая часть Elastic Stack, которая требует сертификат TLS или SSL. В зависимости от вашей конфигурации Elasticsearch, Logstash, Kibana и Beats могут потребовать сертификат и закрытый ключ. Минимальная необходимая информация для экземпляра — это его имя, используемое в качестве общего имени сертификата. Имя экземпляра может быть значением хоста или полным полным доменным именем. Если имя экземпляра приведет к созданию недопустимого имени файла или каталога, необходимо также указать имя файла в параметре команды --name или в поле filename в входном YAML-файле.

Можно дополнительно указать IP-адреса или имена DNS для каждого экземпляра. Если ни IP-адреса, ни имена DNS не указаны, продукты Elastic Stack не могут выполнить проверку имени хоста, и вам может потребоваться настроить параметр безопасности verification_mode на значение certificate только. Дополнительную информацию об этом параметре см. в разделе Настройки безопасности.

Все сертификаты, генерируемые этой командой, подписаны CA, если не указан параметр --self-signed. Вы должны предоставить свой CA с помощью параметров --ca или --ca-cert и --ca-key, если не указан параметр --self-signed. Дополнительную информацию о генерации CA см. в разделе режим CA этой команды. Чтобы сгенерировать самозаверяющие сертификаты, используйте параметр --self-signed.

По умолчанию режим cert создает один выходной файл PKCS#12, который содержит сертификат экземпляра, закрытый ключ экземпляра и сертификат CA. Если вы укажете параметр --pem, команда сгенерирует сертификаты и ключи в формате PEM и упакует их в zip-архив. Если вы укажете параметры --multiple или --in, команда создаст zip-архив, содержащий сгенерированные сертификаты и ключи.

Режим csr генерирует запросы на подписание сертификатов (CSR), которые можно отправить в доверенный центр сертификации для получения подписанных сертификатов. Подписанные сертификаты должны быть в формате PEM или PKCS#12 для работы с функциями безопасности Elasticsearch.

По умолчанию команда генерирует один CSR для одного экземпляра.

Для генерации CSR для нескольких экземпляров укажите параметр --multiple, который запросит информацию о каждом экземпляре. В качестве альтернативы, можно использовать параметр --in для указания YAML-файла, содержащего данные об экземплярах.

Режим csr создает один zip-архив, содержащий CSR и закрытые ключи для каждого экземпляра. Каждый CSR предоставляется в стандартном кодировании PEM PKCS#10 CSR. Каждый ключ предоставляется в кодировании PEM закрытого ключа RSA.

Режим http проведет вас через процесс генерации сертификатов для использования на HTTP (REST) интерфейсе Elasticsearch. Он задаст вам ряд вопросов, чтобы сгенерировать правильный набор файлов для ваших нужд. Например, в зависимости от ваших выборов, он может сгенерировать zip-архив, который содержит центр сертификации (CA), запрос на подписание сертификата (CSR) или сертификаты и ключи для использования в Elasticsearch и Kibana. Каждый каталог в zip-архиве содержит файл readme, который объясняет, как использовать файлы.

Следующая команда генерирует сертификат и закрытый ключ ЦС в формате PKCS#12:

bin/elasticsearch-certutil ca

Вам будет предложено ввести имя файла и пароль. В качестве альтернативы можно указать параметры --out и --pass.

Затем можно сгенерировать X.509 сертификаты и закрытые ключи с использованием нового ЦС. Например:

bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12

Вам будет предложено ввести пароль ЦС, а также имя файла и пароль. В качестве альтернативы можно указать параметры --ca-pass, --out и --pass.

По умолчанию эта команда создаёт файл под названием elastic-certificates.p12, который можно скопировать в соответствующий каталог настроек каждого продукта Elastic, который вы хотите настроить. Дополнительную информацию см. в разделе Шифрование межузловых коммуникаций с помощью TLS.

Для работы в бесшумном режиме необходимо создать файл YAML, содержащий информацию об экземплярах. Он должен соответствовать следующему формату:

instances:
  - name: "node1" 
    ip: 
      - "192.0.2.1"
    dns: 
      - "node1.mydomain.com"
  - name: "node2"
    ip:
      - "192.0.2.2"
      - "198.51.100.1"
  - name: "node3"
  - name: "node4"
    dns:
      - "node4.mydomain.com"
      - "node4.internal"
  - name: "CN=node5,OU=IT,DC=mydomain,DC=com"
    filename: "node5" 

После подготовки файла YAML можно использовать команду elasticsearch-certutil для генерации сертификатов или запросов на подпись сертификатов. Для указания расположения файла просто используйте параметр --in. Например:

bin/elasticsearch-certutil cert --silent --in instances.yml --out test1.zip --pass testpassword --ca elastic-stack-ca.p12

Эта команда генерирует сжатый файл test1.zip. После разархивирования выходного файла для каждого экземпляра, указанного в файле instances.yml, есть каталог. Каждый каталог экземпляра содержит один файл PKCS#12 (.p12), который содержит сертификат экземпляра, закрытый ключ экземпляра и сертификат ЦС.

Также можно использовать файл YAML для генерации запросов на подпись сертификатов. Например:

bin/elasticsearch-certutil csr --silent --in instances.yml --out test2.zip --pass testpassword

Эта команда генерирует сжатый файл, содержащий каталог для каждого экземпляра. Каждый каталог экземпляра содержит запрос на подпись сертификата (файл *.csr) и закрытый ключ (файл *.key).