Обновление сертификатов с тем же центром сертификации

Откройте файл ES_PATH_CONF/elasticsearch.yml и проверьте имена и расположения хранилищ ключей, которые в настоящее время используются. Вы будете использовать те же имена для своего нового сертификата.

В этом примере хранилище ключей и хранилище доверенных сертификатов указывают на разные файлы. Ваша конфигурация может использовать один и тот же файл, содержащий сертификат и сертификат центра сертификации. В этом случае укажите путь к этому файлу для хранилища ключей и хранилища доверенных сертификатов.

xpack.security.transport.ssl.keystore.path: config/elastic-certificates.p12
xpack.security.transport.ssl.keystore.type: PKCS12
xpack.security.transport.ssl.truststore.path: config/elastic-stack-ca.p12
xpack.security.transport.ssl.truststore.type: PKCS12
xpack.security.transport.ssl.verification_mode: certificate

Используя ваш существующий центр сертификации, сгенерируйте хранилище ключей для ваших узлов. Вы должны использовать центр сертификации, который использовался для подписи сертификата, используемого в настоящее время.

./bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12

Если вы ввели пароль при создании хранилища ключей узла, который отличается от текущего пароля хранилища ключей, выполните следующую команду, чтобы сохранить пароль в хранилище ключей Elasticsearch:

./bin/elasticsearch-keystore add xpack.security.transport.ssl.keystore.secure_password

На текущем узле вашего кластера, где вы обновляете хранилище ключей, запустите поэтапный перезапуск.

Остановитесь на шаге, указывающем Выполните необходимые изменения, а затем перейдите к следующему шагу этой процедуры.

Замените ваше существующее хранилище ключей новым хранилищем ключей, убедившись, что имена файлов совпадают. Например, elastic-certificates.p12.

Если вам нужно было сохранить новое хранилище ключей с новым именем файла, обновите файл ES_PATH_CONF/elasticsearch.yml, чтобы использовать имя файла нового хранилища ключей. Например:

xpack.security.transport.ssl.keystore.path: config/elastic-certificates.p12
xpack.security.transport.ssl.keystore.type: PKCS12
xpack.security.transport.ssl.truststore.path: config/elastic-stack-ca.p12
xpack.security.transport.ssl.truststore.type: PKCS12

(Необязательно) Используйте API сертификатов SSL, чтобы убедиться, что Elasticsearch загрузил новое хранилище ключей.

resp = client.ssl.certificates()
print(resp)

const response = await client.ssl.certificates();
console.log(response);

GET /_ssl/certificates

Если вы обновляете сертификаты только для транспортного уровня (а не для HTTP-уровня), выполните шаги от шага 4 до шага 8 по одному узлу за раз, пока не обновите все хранилища ключей в вашем кластере. Затем вы можете выполнить оставшиеся шаги по поэтапному перезапуску.

В противном случае не выполняйте поэтапный перезапуск. Вместо этого перейдите к шагам по генерации нового сертификата для HTTP-уровня.

На любом узле вашего кластера, где установлен Elasticsearch, запустите инструмент Elasticsearch HTTP-сертификатов.

./bin/elasticsearch-certutil http

Эта команда сгенерирует файл .zip, содержащий сертификаты и ключи для использования с Elasticsearch и Kibana. В каждой папке находится файл README.txt, объясняющий, как использовать эти файлы.

Разархивируйте сгенерированный файл elasticsearch-ssl-http.zip. Этот сжатый файл содержит две директории; одну для Elasticsearch и одну для Kibana. Внутри директории /elasticsearch находится директория для каждого узла с соответствующим файлом http.p12. Например:

/node1
|_ README.txt
|_ http.p12
|_ sample-elasticsearch.yml

/node2
|_ README.txt
|_ http.p12
|_ sample-elasticsearch.yml

/node3
|_ README.txt
|_ http.p12
|_ sample-elasticsearch.yml

На текущем узле вашего кластера, где вы обновляете хранилище ключей, запустите поэтапную перезагрузку.

Остановитесь на шаге, указывающем Выполнение необходимых изменений, а затем переходите к следующему шагу этой процедуры.

Замените ваше существующее хранилище ключей новым, убедившись, что имена файлов совпадают. Например, node1-http.p12.

Если вам нужно было сохранить новое хранилище ключей с новым именем файла, обновите файл ES_PATH_CONF/elasticsearch.yml, чтобы использовать имя нового хранилища ключей. Например:

xpack.security.http.ssl.enabled: true
xpack.security.http.ssl.keystore.path: node1-http.p12

Если пароль вашего хранилища ключей изменяется, добавьте пароль вашего закрытого ключа в безопасные настройки Elasticsearch.

./bin/elasticsearch-keystore add xpack.security.http.ssl.keystore.secure_password

Запустите узел, на котором вы обновили хранилище ключей.

Используйте API cat nodes, чтобы подтвердить, что узел присоединился к кластеру:

resp = client.cat.nodes()
print(resp)

response = client.cat.nodes
puts response

const response = await client.cat.nodes();
console.log(response);

GET _cat/nodes

(Необязательно) Используйте API сертификатов SSL, чтобы проверить, что Elasticsearch загрузил новое хранилище ключей.

resp = client.ssl.certificates()
print(resp)

const response = await client.ssl.certificates();
console.log(response);

GET /_ssl/certificates