从零到一：Elasticsearch证书管理的全生命周期实践指南

1. 证书管理基础架构设计

在构建Elasticsearch集群的安全体系时，证书管理架构的设计直接影响着系统的可维护性和扩展性。一个典型的证书管理体系包含三个核心层级：

• 根证书机构（Root CA）：作为信任链的起点，负责签发中间CA证书
• 中间证书机构（Intermediate CA）：用于隔离风险，实际签发节点证书
• 节点证书（Node Certificates）：用于具体服务实例的身份验证和加密通信

最佳实践架构示例：

.
├── root-ca
│   ├── root-ca.key  # 根CA私钥（离线保存）
│   └── root-ca.crt  # 根CA证书
├── intermediate-ca
│   ├── int-ca.key   # 中间CA私钥
│   └── int-ca.crt   # 中间CA证书
└── nodes
    ├── node1
    │   ├── cert.p12 # PKCS#12格式节点证书
    │   └── cert.pem # PEM格式节点证书
    └── node2
        ├── cert.p12
        └── cert.pem

关键原则：根CA私钥必须离线存储，中间CA用于日常签发，节点证书定期轮换。这种分层结构既保证了安全性，又便于证书的日常管理。

2. 证书生成与签发实战

2.1 创建私有CA体系

使用OpenSSL创建完整的CA链：

# 生成根CA（有效期10年）
openssl genrsa -aes256 -out root-ca.key 4096
openssl req -x509 -new -nodes -key root-ca.key \
  -sha256 -days 3650 -out root-ca.crt \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=Example/CN=Root CA"

# 生成中间CA（有效期5年）
openssl genrsa -aes256 -out int-ca.key 4096
openssl req -new -key int-ca.key -out int-ca.csr \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=Example/CN=Intermediate CA"
openssl x509 -req -in int-ca.csr -CA root-ca.crt -CAkey root-ca.key \
  -CAcreateserial -out int-ca.crt -days 1825 -sha256 \
  -extfile <(printf "basicConstraints=critical,CA:true\nkeyUsage=keyCertSign,cRLSign")

2.2 签发节点证书

使用Elasticsearch-certutil工具生成节点证书：

# 生成包含SAN的节点证书
./bin/elasticsearch-certutil cert --ca int-ca.p12 \
  --name "es-node-01" \
  --dns "es-node-01.example.com,localhost" \
  --ip "192.168.1.10,127.0.0.1" \
  --pem --out certs.zip

证书参数对比表：

参数	推荐值	说明
密钥长度	2048/4096位	低于2048位存在安全风险
签名算法	SHA256/SHA384	避免使用MD5/SHA1
有效期	90-180天	符合零信任原则
SAN扩展	必须包含	支持多域名和IP

3. 集群安全配置详解

3.1 传输层安全配置

在elasticsearch.yml中配置节点间通信加密：

xpack.security.transport.ssl:
  enabled: true
  verification_mode: certificate
  keystore.path: certs/es-node-01.p12
  truststore.path: ca/int-ca.p12
  cipher_suites:
    - TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
    - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  protocol: "TLSv1.3"

3.2 HTTP层安全配置

配置REST API访问加密：

xpack.security.http.ssl:
  enabled: true
  keystore.path: certs/http.p12
  client_authentication: optional
  supported_protocols: ["TLSv1.3"]

特别注意：生产环境必须禁用TLSv1.0/v1.1，优先使用TLSv1.3协议。可以通过openssl s_client -connect <host>:<port>命令验证协议支持情况。

4. 证书轮换自动化方案

4.1 轮换流程设计

1. 准备阶段：

   • 生成新证书并验证有效性
   • 将新证书分发到所有节点config目录
   • 更新elasticsearch.keystore中的密码

2. 执行阶段：

   • 逐个节点滚动重启
   • 验证新证书加载情况
   • 监控集群健康状态

3. 收尾阶段：

   • 移除旧证书文件
   • 更新CMDB记录
   • 归档过期证书

4.2 自动化脚本示例

#!/bin/bash
# 证书轮换自动化脚本
NODES="node1:9200 node2:9200 node3:9200"
NEW_CERT="certs/new-cert.p12"
KEYSTORE_PASS=$(cat /etc/elastic/keystore.pass)

for node in $NODES; do
  # 拷贝新证书
  scp $NEW_CERT elastic@${node%:*}:${ES_PATH_CONF}/certs/
  
  # 触发证书热加载
  curl -X POST -u admin:password \
    "https://${node}/_nodes/reload_secure_settings" \
    -H "Content-Type: application/json" \
    -d '{"secure_settings_password":"'"$KEYSTORE_PASS"'"}'
  
  # 验证证书更新
  curl -v --cacert ca.crt https://${node} 2>&1 | grep -q "certificate has expired"
  if [ $? -eq 0 ]; then
    echo "证书更新失败: $node"
    exit 1
  fi
done

5. 监控与故障排查

5.1 证书过期监控

通过Elasticsearch API实时监控证书状态：

# 查看集群所有证书信息
GET /_ssl/certificates

# 使用Kibana设置证书过期告警
PUT _watcher/watch/cert_expiry
{
  "trigger": {
    "schedule": { "interval": "24h" }
  },
  "input": {
    "http": {
      "request": {
        "host": "localhost",
        "port": 9200,
        "path": "/_ssl/certificates",
        "auth": { "basic": { ... } }
      }
    }
  },
  "condition": {
    "compare": {
      "ctx.payload.0.expiry": {
        "lt": "now+30d/d"
      }
    }
  },
  "actions": { ... }
}

5.2 常见问题处理

证书验证失败：

1. 检查CA证书链完整性：openssl verify -CAfile ca-chain.crt node.crt
2. 验证SAN配置：openssl x509 -in node.crt -text -noout | grep -A1 "Subject Alternative Name"

连接问题排查步骤：

1. 使用openssl测试连接：openssl s_client -connect host:port -showcerts
2. 检查Elasticsearch日志中的SSL错误
3. 验证keystore密码是否正确：keytool -list -v -keystore keystore.p12

在实际运维中，我们曾遇到因时区差异导致证书提前失效的案例。解决方案是在签发证书时统一使用UTC时间，并在监控系统中设置8小时缓冲期。