Установка Elasticsearch с помощью RPM

Мы подписываем все наши пакеты ключом Elasticsearch Signing Key (PGP-ключ D88E42B4, доступный на https://pgp.mit.edu) с отпечатком:

4609 5ACC 8548 582C 1A26 99A9 D27D 666C D88E 42B4

Загрузите и установите общедоступный ключ подписи:

rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch

Создайте файл с именем elasticsearch.repo в каталоге /etc/yum.repos.d/ для дистрибутивов на основе RedHat или в каталоге /etc/zypp/repos.d/ для дистрибутивов на основе OpenSuSE, содержащий:

[elasticsearch]
name=Elasticsearch repository for 8.x packages
baseurl=https://artifacts.elastic.co/packages/8.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=0
autorefresh=1
type=rpm-md

И ваш репозиторий готов к использованию. Теперь вы можете установить Elasticsearch с помощью одной из следующих команд:

sudo yum install --enablerepo=elasticsearch elasticsearch 
sudo dnf install --enablerepo=elasticsearch elasticsearch 
sudo zypper modifyrepo --enable elasticsearch && \
  sudo zypper install elasticsearch; \
  sudo zypper modifyrepo --disable elasticsearch 

RPM-пакет Elasticsearch v8.17.3 можно загрузить с сайта и установить следующим образом:

wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-8.17.3-x86_64.rpm
wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-8.17.3-x86_64.rpm.sha512
shasum -a 512 -c elasticsearch-8.17.3-x86_64.rpm.sha512 
sudo rpm --install elasticsearch-8.17.3-x86_64.rpm

Для автоматической загрузки Elasticsearch при загрузке системы выполните следующие команды:

sudo /bin/systemctl daemon-reload
sudo /bin/systemctl enable elasticsearch.service

Elasticsearch можно запускать и останавливать следующим образом:

sudo systemctl start elasticsearch.service
sudo systemctl stop elasticsearch.service

Эти команды не предоставляют обратную связь о том, успешно ли запущен Elasticsearch. Вместо этого эта информация будет записана в файлы журналов, расположенные в /var/log/elasticsearch/.

Если вы защитили свой хранилище ключей Elasticsearch паролем, вам необходимо предоставить systemd пароль хранилища ключей с помощью локального файла и системных переменных среды. Этот локальный файл должен быть защищен во время его существования и может быть безопасно удален после запуска Elasticsearch.

echo "keystore_password" > /path/to/my_pwd_file.tmp
chmod 600 /path/to/my_pwd_file.tmp
sudo systemctl set-environment ES_KEYSTORE_PASSPHRASE_FILE=/path/to/my_pwd_file.tmp
sudo systemctl start elasticsearch.service

По умолчанию служба Elasticsearch не регистрирует информацию в журнале systemd. Для включения journalctl регистрации необходимо удалить опцию --quiet из командной строки в файле ExecStart.

При включении systemd регистрации, информация о регистрации доступна с помощью команд journalctl:

Для просмотра журнала:

sudo journalctl -f

Для просмотра записей журнала для службы elasticsearch:

sudo journalctl --unit elasticsearch

Для просмотра записей журнала для службы elasticsearch, начиная с определенного времени:

sudo journalctl --unit elasticsearch --since  "2016-10-30 18:17:16"

См. man journalctl или https://www.freedesktop.org/software/systemd/man/journalctl.html для получения дополнительных командных параметров.

[2022-01-31T01:22:31,077][INFO ][o.e.n.Node               ] [instance-0000000123] starting ...
...
[2022-01-31T01:37:15,077][INFO ][o.e.n.Node               ] [instance-0000000123] stopping ...

Jan 31 01:22:30 debian systemd[1]: Starting Elasticsearch...
Jan 31 01:37:15 debian systemd[1]: elasticsearch.service: Start operation timed out. Terminating.
Jan 31 01:37:15 debian systemd[1]: elasticsearch.service: Main process exited, code=killed, status=15/TERM
Jan 31 01:37:15 debian systemd[1]: elasticsearch.service: Failed with result 'timeout'.
Jan 31 01:37:15 debian systemd[1]: Failed to start Elasticsearch.

Вы можете проверить, что ваш узел Elasticsearch работает, отправив запрос HTTPS на порт 9200 на localhost:

curl --cacert /etc/elasticsearch/certs/http_ca.crt -u elastic:$ELASTIC_PASSWORD https://localhost:9200 

Вызов возвращает ответ примерно такого вида:

{
  "name" : "Cp8oag6",
  "cluster_name" : "elasticsearch",
  "cluster_uuid" : "AT69_T_DTp-1qgIJlatQqA",
  "version" : {
    "number" : "8.17.3",
    "build_type" : "tar",
    "build_hash" : "f27399d",
    "build_flavor" : "default",
    "build_date" : "2016-03-30T09:51:41.449Z",
    "build_snapshot" : false,
    "lucene_version" : "9.12.0",
    "minimum_wire_compatibility_version" : "1.2.3",
    "minimum_index_compatibility_version" : "1.2.3"
  },
  "tagline" : "You Know, for Search"
}

Директория /etc/elasticsearch содержит стандартную конфигурацию runtime Elasticsearch. Владение этой директорией и всеми содержащимися в ней файлами устанавливается как root:elasticsearch при установке пакета.

Флаг setgid применяет групповые разрешения к директории /etc/elasticsearch, чтобы обеспечить Elasticsearch доступ для чтения любых содержащихся файлов и поддиректорий. Все файлы и поддиректории наследуют владение root:elasticsearch. Для выполнения команд из этой директории или любых поддиректорий, таких как elasticsearch-keystore tool, требуются разрешения root:elasticsearch.

Elasticsearch по умолчанию загружает конфигурацию из файла /etc/elasticsearch/elasticsearch.yml. Формат этого файла конфигурации описан в Настройка Elasticsearch.

В RPM также есть системный файл конфигурации (/etc/sysconfig/elasticsearch), который позволяет настраивать следующие параметры:

При первом запуске Elasticsearch TLS настраивается автоматически для HTTP-слоя. Сертификат CA генерируется и хранится на диске по адресу:

/etc/elasticsearch/certs/http_ca.crt

Шестнадцатеричный отпечаток SHA-256 этого сертификата также выводится на терминал. Все клиенты, подключающиеся к Elasticsearch, такие как Elasticsearch Clients, Beats, автономные Elastic Agents и Logstash, должны проверить, что они доверяют сертификату, используемому Elasticsearch для HTTPS. Fleet Server и управляемые Fleet Elastic Agents автоматически настраиваются на доверие сертификату CA. Другие клиенты могут установить доверие, используя либо отпечаток сертификата CA, либо сам сертификат CA.

Если процесс автоматической настройки уже завершен, вы все равно можете получить отпечаток сертификата безопасности. Вы также можете скопировать сертификат CA на свой компьютер и настроить своего клиента на его использование.

Скопируйте значение отпечатка, выведенное на ваш терминал при запуске Elasticsearch, и настройте своего клиента на использование этого отпечатка для установления доверия при подключении к Elasticsearch.

Если процесс автоматической настройки уже завершен, вы все равно можете получить отпечаток сертификата безопасности, выполнив следующую команду. Путь указан к автоматически сгенерированному сертификату CA для HTTP-слоя.

openssl x509 -fingerprint -sha256 -in config/certs/http_ca.crt

Команда возвращает сертификат безопасности, включая отпечаток. issuer должен быть Elasticsearch security auto-configuration HTTP CA.

issuer= /CN=Elasticsearch security auto-configuration HTTP CA
SHA256 Fingerprint=<fingerprint>

Если ваша библиотека не поддерживает метод проверки отпечатка, автоматически сгенерированный сертификат CA создается в следующей директории на каждом узле Elasticsearch:

/etc/elasticsearch/certs/http_ca.crt

Скопируйте файл http_ca.crt на свой компьютер и настройте своего клиента на использование этого сертификата для установления доверия при подключении к Elasticsearch.

RPM размещает файлы конфигурации, логи и директорию данных в соответствующих местах для системы, основанной на RPM:

bin/elasticsearch-keystore show xpack.security.http.ssl.keystore.secure_password

bin/elasticsearch-keystore show xpack.security.transport.ssl.keystore.secure_password