Обновление сертификатов безопасности с использованием другого удостоверяющего центра

Откройте файл ES_PATH_CONF/elasticsearch.yml и проверьте имена и расположения хранилищ ключей, которые используются в настоящее время. Вы будете использовать те же имена для новых хранилищ ключей.

В этом примере хранилище ключей и хранилище доверенных сертификатов используют разные файлы. Ваша конфигурация может использовать один и тот же файл для хранилища ключей и хранилища доверенных сертификатов.

xpack.security.transport.ssl.keystore.path: config/elastic-certificates.p12
xpack.security.transport.ssl.keystore.type: PKCS12
xpack.security.transport.ssl.truststore.path: config/elastic-stack-ca.p12
xpack.security.transport.ssl.truststore.type: PKCS12
xpack.security.transport.ssl.verification_mode: certificate

На любом узле вашего кластера сгенерируйте новый сертификат УЦ. Вам нужно выполнить этот шаг только один раз. Если вы используете сертификат УЦ своей организации, пропустите этот шаг.

./bin/elasticsearch-certutil ca --pem

На каждом узле вашего кластера импортируйте новый сертификат ca.crt УЦ в существующее хранилище доверенных сертификатов. Этот шаг гарантирует, что ваш кластер доверяет новому сертификату УЦ. В этом примере используется утилита Java keytool для импорта сертификата в хранилище доверенных сертификатов elastic-stack-ca.p12 УЦ.

keytool -importcert -trustcacerts -noprompt -keystore elastic-stack-ca.p12 \
-storepass <password>  -alias new-ca -file ca.crt

Проверьте, был ли добавлен новый сертификат УЦ в ваше хранилище доверенных сертификатов.

keytool -keystore config/elastic-stack-ca.p12 -list

При запросе введите пароль для хранилища доверенных сертификатов УЦ.

Вывод должен содержать как существующий сертификат УЦ, так и ваш новый сертификат. Если вы ранее использовали инструмент elasticsearch-certutil для генерации хранилища ключей, псевдоним старого УЦ по умолчанию является ca, а тип записи — PrivateKeyEntry.

Используя новый сертификат УЦ и ключ, создайте новый сертификат для своих узлов.

./bin/elasticsearch-certutil cert --ca-cert ca/ca.crt --ca-key ca/ca.key

На текущем узле в вашем кластере, где вы обновляете хранилище ключей, запустите поэтапную перезагрузку.

Остановитесь на шаге, указывающем Выполнение необходимых изменений, а затем переходите к следующему шагу в этой процедуре.

Замените существующее хранилище ключей новым хранилищем ключей, убедившись, что имена файлов совпадают. Например, elastic-certificates.p12.

Если вам нужно было сохранить новое хранилище ключей с новым именем файла, обновите файл ES_PATH_CONF/elasticsearch.yml, чтобы использовать имя файла нового хранилища ключей. Например:

xpack.security.transport.ssl.keystore.path: config/elastic-certificates.p12
xpack.security.transport.ssl.keystore.type: PKCS12
xpack.security.transport.ssl.truststore.path: config/elastic-stack-ca.p12
xpack.security.transport.ssl.truststore.type: PKCS12

(Необязательно) Используйте API сертификатов SSL, чтобы проверить, загрузило ли Elasticsearch новое хранилище ключей.

resp = client.ssl.certificates()
print(resp)

const response = await client.ssl.certificates();
console.log(response);

GET /_ssl/certificates

Если вы обновляете только сертификаты для транспортного уровня (а не для HTTP-уровня), выполните шаги 2–6 по одному узлу за раз, пока не обновите все хранилища ключей в вашем кластере. Затем вы можете выполнить оставшиеся шаги для поэтапной перезагрузки.

В противном случае не выполняйте поэтапную перезагрузку. Вместо этого перейдите к шагам по генерации нового сертификата для HTTP-уровня.

(Необязательно) После замены хранилищ ключей на каждом узле в вашем кластере, перечислите сертификаты в вашем хранилище доверенных сертификатов, а затем удалите старый сертификат УЦ.

Если вы ранее использовали инструмент elasticsearch-certutil для генерации хранилища ключей, псевдоним старого УЦ по умолчанию является ca, а тип записи — PrivateKeyEntry.

keytool -delete -noprompt -alias ca  -keystore config/elastic-stack-ca.p12 \
-storepass <password>

На любом узле вашего кластера, где установлен Elasticsearch, запустите инструмент Elasticsearch HTTP-сертификатов.

./bin/elasticsearch-certutil http

Эта команда сгенерирует файл .zip, который содержит сертификаты и ключи для использования с Elasticsearch и Kibana. Каждый каталог содержит файл README.txt, объясняющий, как использовать эти файлы.

Распакуйте сгенерированный файл elasticsearch-ssl-http.zip. Этот сжатый файл содержит один каталог как для Elasticsearch, так и для Kibana. Внутри каталога /elasticsearch находится каталог для каждого узла, который вы указали, со своим файлом http.p12. Например:

/node1
|_ README.txt
|_ http.p12
|_ sample-elasticsearch.yml

/node2
|_ README.txt
|_ http.p12
|_ sample-elasticsearch.yml

/node3
|_ README.txt
|_ http.p12
|_ sample-elasticsearch.yml

На текущем узле вашего кластера, где вы обновляете хранилище ключей, запустите поэтапную перезагрузку.

Остановитесь на шаге, указывающем Выполните все необходимые изменения, а затем переходите к следующему шагу в этой процедуре.

Замените ваше существующее хранилище ключей новым хранилищем ключей, убедившись, что имена файлов совпадают. Например, node1-http.p12.

Если вам нужно было сохранить новое хранилище ключей с новым именем файла, обновите файл ES_PATH_CONF/elasticsearch.yml, чтобы использовать имя файла нового хранилища ключей. Например:

xpack.security.http.ssl.enabled: true
xpack.security.http.ssl.keystore.path: node1-http.p12

Если пароль вашего хранилища ключей меняется, добавьте пароль к вашему приватному ключу в защищённые настройки Elasticsearch.

./bin/elasticsearch-keystore add xpack.security.http.ssl.keystore.secure_password

Используйте API cat nodes, чтобы подтвердить, что узел присоединился к кластеру:

resp = client.cat.nodes()
print(resp)

response = client.cat.nodes
puts response

const response = await client.cat.nodes();
console.log(response);

GET _cat/nodes

(Необязательно) Используйте API сертификатов SSL, чтобы проверить, что Elasticsearch загрузил новое хранилище ключей.

resp = client.ssl.certificates()
print(resp)

const response = await client.ssl.certificates();
console.log(response);

GET /_ssl/certificates

Скопируйте файл elasticsearch-ca.pem в каталог конфигурации Kibana, как определено путем KBN_PATH_CONF.

Если вы изменили имя файла для файла elasticsearch-ca.pem, отредактируйте kibana.yml и обновите конфигурацию, чтобы указать расположение сертификата безопасности для HTTP-слоя.

elasticsearch.ssl.certificateAuthorities: KBN_PATH_CONF/elasticsearch-ca.pem