本文将分享使用自建证书搭建加密的es集群，如果想使用rpm包安装，前期的搭建过程请参考上面一篇文章https://blog.csdn.net/margu_168/article/details/133344675。后续的操作与使用tar包安装的类似，只是需要注意目录的区别。
本次使用3节点的centos7安装es8.0.1版本的集群，规划如下：
| hostname | IP |
|---|---|
| k8s-m1 | 192.168.2.140 |
| k8s-m2 | 192.168.2.141 |
| k8s-m3 | 192.168.2.142 |
以下操作3个节点都需要进行。如果使用wget下载慢，可以使用其他工具下载好再上传到服务器。
[root@k8s-m1 opt]# wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-8.0.1-linux-x86_64.tar.gz
[root@k8s-m1 opt]# tar -xvf elasticsearch-8.0.1-linux-x86_64.tar.gz
环境调整
由于es服务需要服务器调整连接数，修改limits.conf文件，如下：
vim /etc/security/limits.conf
* soft nofile 655350
* hard nofile 655350
调整vm.max_map_coun，检查当前的 vm.max_map_count 值：如果当前的值小于 262144，需要调整。否则，如果当前的值已经达到或超过 262144，那么可以不进行任何更改，当然也可以适量调大一点。
[root@k8s-m1 ~]# sysctl vm.max_map_count
[root@k8s-m1 ~]# echo "vm.max_map_count=655360" >> /etc/sysctl.conf
[root@k8s-m1 ~]# sysctl -p
默认情况下，es不能使用root用户运行，需要自行创建一个用户。
[root@k8s-m1 ~]# useradd es
jvm使用内存大小调整，默认情况下，es配置使用的是-Xms4g和-Xmx4g，可以按照自己所需进行调整。
注意，在es8.0.1版本中，默认情况下，证书文件已经默认自己生成。可以先删除或者后面进行覆盖。
[root@k8s-m1 elasticsearch-8.0.1]# pwd
/opt/elasticsearch-8.0.1
[root@k8s-m2 elasticsearch-8.0.1]# ./bin/elasticsearch-certutil ca
warning: ignoring JAVA_HOME=/opt/jdk1.8.0_65; using bundled JDK
This tool assists you in the generation of X.509 certificates and certificate
signing requests for use with SSL/TLS in the Elastic stack.
The 'ca' mode generates a new 'certificate authority'
This will create a new X.509 certificate and private key that can be used
to sign certificate when running in 'cert' mode.
Use the 'ca-dn' option if you wish to configure the 'distinguished name'
of the certificate authority
By default the 'ca' mode produces a single PKCS#12 output file which holds:
* The CA certificate
* The CA's private key
If you elect to generate PEM format certificates (the -pem option), then the output will
be a zip file containing individual files for the CA certificate and private key
Please enter the desired output file [elastic-stack-ca.p12]:
Enter password for elastic-stack-ca.p12 :
按提示操作即可，我这里选择了不改名字、不加密码。完成后该工具会在当前目录（/opt/elasticsearch-8.0.1
）生成elastic-stack-ca.p12这个文件。这个文件将用于签署其他证书，非常重要。
使用上面的CA文件生成加密的传输证书文件，如下：
[root@k8s-m1 elasticsearch-8.0.1]# ./bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12
##默认输出的名字为elastic-certificates.p12，如果想指定名称，可以使用--out参数，如下。
#[root@k8s-m2 elasticsearch-8.0.1]# ./bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12 --out transport.p12
按提示操作，为了方便，我没改默认文件名，也没有添加密码。完成后生成keystore文件elastic-certificates.p12，里面包含了节点证书，节点密钥，以及CA的证书。
注意默认情况下，生成这些文件时时添加了密码的并写入了elasticsearch.keystore文件中，但我们生成新的证书时没有添加密码，所以还需要修改elasticsearch.keystore这个文件，（大家可以测试如果生成证书时没有设置密码，而elasticsearch.keystore文件里面还有之前遗留下的密码服务是否能正常运行）方法如下：
#可以先用以下命令查看到之前的密码
[root@k8s-m1 elasticsearch-8.0.1]# ./bin/elasticsearch-keystore show xpack.security.transport.ssl.keystore.secure_password
#修改，如果有可以直接覆盖。当然也可以先delete后进行添加
[root@k8s-m1 opt]# ./bin/elasticsearch-keystore add xpack.security.transport.ssl.keystore.secure_password
warning: ignoring JAVA_HOME=/opt/jdk1.8.0_65; using bundled JDK
Setting xpack.security.transport.ssl.keystore.secure_password already exists. Overwrite? [y/N]y
Enter value for xpack.security.transport.ssl.keystore.secure_password:
[root@k8s-m1 opt]# ./bin/elasticsearch-keystore add xpack.security.transport.ssl.truststore.secure_password
在/opt/elasticsearch-8.0.1/config/文件夹里新建certs文件夹以方便后面对路径统一管理。把elastic-certificates.p12文件复制到每一个节点的certs目录。注意读取权限要分配给es用户和组（该组需要自己手动创建）。
[root@k8s-m1 elasticsearch-8.0.1]# mkdir config/certs/
# 注意我修改了一下名字与默认的保持一致
[root@k8s-m1 elasticsearch-8.0.1]# cp elastic-certificates.p12 config/certs/transport.p12
[root@k8s-m1 elasticsearch-8.0.1]# cp elastic-stack-ca.p12 config/certs/http_ca.crt
[root@k8s-m2 elasticsearch-8.0.1]# ./bin/elasticsearch-certutil http
上面的命令运行后会有一堆问题，我按如下配置：
创建CSR: 否 使用已创建CA：是 CA文件路径： /opt/elasticsearch-8.0.1/elastic-stack-ca.p12 CA文件密码：无密码 设置证书过期时间：默认5y。 是否为每个节点创建独立的证书：否 (使用同一个证书。) 录入需要使用证书的机器名 (可以多个） 录入需要使用证书的IP （可以多个） 设置证书密码：无
以上完成后将生成一个名为elasticsearch-ssl-http.zip的压缩文件。
[root@k8s-m1 elasticsearch-8.0.1]# unzip elasticsearch-ssl-http.zip
[root@k8s-m1 elasticsearch-8.0.1]# tree elasticsearch kibana/
elasticsearch
├── http.p12
├── README.txt
└── sample-elasticsearch.yml
kibana/
├── elasticsearch-ca.pem
├── README.txt
└── sample-kibana.yml
0 directories, 6 files
[root@k8s-m1 elasticsearch-8.0.1]# cp elasticsearch/http.p12 config/certs/http.p12
解压后会生成两个文件夹，elasticsearch文件夹包含http.p12及elasticsearch.yml的配置参考，kibana文件夹包含elasticsearch-ca.pem及kibana.yml的配置参考。把http.p12复制到certs文件中。
同样，把上面keystore文件的密码加入到keystore中，
[root@k8s-m1 elasticsearch-8.0.1]# ./bin/elasticsearch-keystore add xpack.security.http.ssl.keystore.secure_password
大致的配置如下，注意与自己实际环境中的一致就行。
[root@k8s-m1 elasticsearch-8.0.1]# egrep -v '^#|^$' config/elasticsearch.yml
network.host: 192.168.2.140
http.port: 9200
discovery.seed_hosts: ["k8s-m1", "k8s-m2","k8s-m3"]
cluster.initial_master_nodes: ["k8s-m1", "k8s-m2","k8s-m3"]
xpack.security.enabled: true
xpack.security.enrollment.enabled: true
xpack.security.http.ssl:
enabled: true
keystore.path: certs/http.p12
xpack.security.transport.ssl:
enabled: true
verification_mode: certificate
keystore.path: certs/transport.p12
truststore.path: certs/transport.p12
[root@k8s-m1 elasticsearch-8.0.1]# scp -r config/ k8s-m2:/opt/elasticsearch-8.0.1
[root@k8s-m1 elasticsearch-8.0.1]# scp -r config/ k8s-m3:/opt/elasticsearch-8.0.1
将修改好的配置文件包括elasticsearch.keystore拷贝到其他两个节点，但是还需要修改配置文件中关于network.host的地址
最后三个节点都进行启动。
#注意要修改elasticsearch目录用户权限
[root@k8s-m1 elasticsearch-8.0.1]# chown -R es:es /opt/elasticsearch-8.0.1
#可以先不加-d选项，然后会直接输出日志。可以通过日志进行排错
[root@k8s-m1 elasticsearch-8.0.1]# sudo -u es ./bin/elasticsearch -d
最后，可以尝试在浏览器用https://你的elasticsearch服务器的地址:9200访问一下验证安全设置是否生效。如果你没有记下内置的超级用户elastic的密码，这时可以重置一下它的密码：
./bin/elasticsearch-reset-password -u elastic
本次直接使用上面生成的pem文件访问。
通过yum/rpm或者tar包安装都可以。
把上面kibana目录的elasticsearch-ca.pem复制到kibana的conf目录中。
[root@k8s-m1 elasticsearch-8.0.1]# cp kibana/elasticsearch-ca.pem ../kibana-8.0.1/config/
配置修改
[root@k8s-m1 elasticsearch-8.0.1]# grep -Ev '^#|^$' ../kibana-8.0.1/config/kibana.yml
server.port: 5601
server.host: "192.168.2.141"
server.publicBaseUrl: "http://192.168.2.141:5601"
elasticsearch.hosts: ["https://192.168.2.140:9200","https://192.168.2.141:9200","https://192.168.2.142:9200"]
elasticsearch.username: "kibana"
elasticsearch.password: "qLIq2=b-JI6BRwRuoZET"
elasticsearch.ssl.certificateAuthorities: [ "config/elasticsearch-ca.pem" ]
elasticsearch.ssl.verificationMode: certificate
最后启动kibana即可。可以先前台运行，查看日志进行拍错。
[root@k8s-m1 kibana-8.0.1]# ./bin/kibana --allow-root
kibana访问界面，IP+5601，使用超级用户elastic登录即可。
更多关于elasticsearch的知识分享，请前往博客主页。编写过程中，难免出现差错，敬请指出