当前位置：首页 > news >正文

别再被默认证书坑了！手把手教你为Elasticsearch 8.x生成10年有效期的自定义证书（附Kibana连接避坑指南）

news 2026/5/24 23:09:33

Elasticsearch生产环境证书管理实战：10年有效期配置与Kibana无缝衔接指南

当凌晨三点收到Elasticsearch集群告警时，运维团队最不愿看到的就是"SSL handshake failed"之类的证书错误。去年某电商平台大促期间，就曾因默认证书突然过期导致全站搜索服务瘫痪6小时——这种本可避免的事故，往往源于对证书生命周期的疏忽。本文将彻底解决这个痛点，从原理到实践演示如何为Elasticsearch 8.x打造可持续10年的安全通信体系。

1. 为什么生产环境必须替换默认证书

Elasticsearch 8.x默认启用的安全模块会生成两类证书：http.p12（客户端通信）和transport.p12（节点间通信）。官方设计的1-3年有效期对开发环境足够，但在生产环境埋下重大隐患：

默认证书的三大致命缺陷：
- 有效期过短（http.p12仅1年）
- 无法统一管理多集群证书
- 到期前无主动告警机制

证书过期引发的连锁反应：

# 典型错误日志示例 [ERROR][o.e.x.s.t.n.SecurityNetty4Transport] [node-1] SSL handshake failed javax.net.ssl.SSLHandshakeException: PKIX path validation failed: java.security.cert.CertPathValidatorException: validity check failed

通过OpenSSL查看默认证书有效期（以Mac/Linux为例）：

openssl pkcs12 -in config/certs/http.p12 -nodes | openssl x509 -noout -dates

输出结果通常会显示"notAfter"日期距离当前时间仅365天。

2. 生成10年有效期CA根证书

证书体系建设的首要步骤是建立私有CA中心。Elasticsearch提供的certutil工具能快速构建完整的PKI体系。

2.1 创建CA根证书

进入ES安装目录的bin文件夹执行：

./elasticsearch-certutil ca --days 3650 --pass mySecurePassword

关键参数说明：

--days 3650：设置10年有效期
--pass：为CA证书添加密码保护

生成后的CA证书（elastic-stack-ca.p12）需要安全存储，建议：

加密备份到至少3个物理隔离的位置
设置严格的访问权限（chmod 600）
记录密码到企业密码管理系统

安全提示：CA私钥泄露等于整个证书体系崩溃，必须与节点证书分开存储

2.2 生成节点通信证书

基于CA证书签发节点证书：

./elasticsearch-certutil cert \ --ca elastic-stack-ca.p12 \ --days 3650 \ --pass nodeCertPassword \ --out elastic-nodes.p12

证书文件结构解析：

文件类型	包含内容	用途
.p12	公钥+私钥	节点身份认证
.crt	公钥证书	客户端验证
.key	私钥文件	加密通信

3. 集群证书部署实战

3.1 证书文件标准化部署

建议采用以下目录结构：

/config /certs /archive # 存放历史证书 /live # 当前使用证书 node1.p12 node2.p12 elasticsearch.keystore

配置elasticsearch.yml关键参数：

xpack.security.transport.ssl: enabled: true verification_mode: certificate keystore.path: certs/live/node1.p12 truststore.path: certs/live/node1.p12

3.2 密码安全管理三部曲

将密码存入keystore：

./elasticsearch-keystore add \ xpack.security.transport.ssl.keystore.secure_password

验证密码已存储：

./elasticsearch-keystore list | grep ssl

自动化密码轮换方案：

# 密码更新脚本示例 NEW_PASS=$(openssl rand -base64 32) echo $NEW_PASS | ./elasticsearch-keystore add \ xpack.security.transport.ssl.keystore.secure_password -f

4. Kibana连接证书的黄金配置

证书更换后Kibana连接失败的常见报错：

Kibana server is not ready yet. Unable to retrieve version information from Elasticsearch nodes.

4.1 全新安装配置流程

生成Kibana enrollment token：

./elasticsearch-create-enrollment-token -s kibana

在kibana.yml中配置：

server.ssl: enabled: true certificate: /path/to/kibana.crt key: /path/to/kibana.key elasticsearch.hosts: ["https://es-node1:9200"] elasticsearch.ssl.certificateAuthorities: ["/path/to/ca.crt"]

4.2 证书更新后的衔接方案

当ES证书变更时，需要同步更新Kibana配置：

重置Kibana系统账号密码：

./elasticsearch-reset-password -u kibana_system

清理Kibana缓存：
```
rm -rf data/*.ndjson
```

验证连接的快速测试：

curl --cacert /path/to/ca.crt -u elastic https://localhost:9200

5. 证书生命周期管理进阶技巧

5.1 自动化监控方案

使用Prometheus监控证书有效期：

# cert_exporter配置示例 scrape_configs: - job_name: 'certificate_expiry' static_configs: - targets: ['/etc/elasticsearch/certs/live/node1.p12'] metrics_path: /probe params: module: [pkcs12] password: ['$PASSWORD']

5.2 无缝轮换策略

双证书并行方案：

# 弹性配置示例 xpack.security.transport.ssl: keystore.path: certs/live/new_cert.p12 truststore.path: certs/live/old_cert.p12

分批次节点重启：

# 蓝绿部署脚本片段 for node in $(seq 1 3); do ssh node-$node "systemctl restart elasticsearch" sleep 300 # 等待节点恢复 curl -X POST "localhost:9200/_cluster/health?wait_for_status=yellow" done

在金融行业某生产集群的实践中，这套证书管理方案成功实现了：