Elasticsearch-8.11.1 （2+1）HA（高可用）集群部署

目录

一、环境描述

二、安装 ES

2.1 下载Elasticsearch

2.2 解压Elasticsearch

2.3 创建es服务账号/密码

2.3 修改服务器配置

2.4 配置节点

2.4.1 配置说明

2.4.2 配置高可用集群

2.4.2.1 maser节点服务配置

2.4.2.2 node1 节点服务配置

2.4.2.3 node2 节点服务配置

2.4.2.3 node3 节点服务配置

2.4.2.3 node4 节点服务配置

2.4.3 服务启动

2.4.4 验证服务启动有没有成功

2.4.4.1 ps查看有没有es进程

2.4.4.2 访问服务

三、部署Kibana

3.1 下载Kibana

3.2 解压

3.3 配置Kibana

3.4 ?给账号密码做目录授权

3.5 启动服务

3.6 访问Kibana

四、安装Head 插件

4.1 下载Head插件

4.2 修改Gruntfile.js文件

4.3 修改ES配置文件

4.3 安装head 服务

4.4 启动服务

4.5 访问Head

五、ES集群安全

5.1 集群安全策略

5.1.1 版本支持

5.1.2 支持的策略

5.2 不同策略的实现

5.2.1 Minimal security（最低安全等级）配置

5.2.1.1 Minimal security配置步骤

5.2.1.1.1 启动Security

5.2.1.1.2 重启节点服务

5.2.1.1.2 创建用户密码

5.2.1.1.3 配置Kibana的账号信息

5.2.2 Basic security（基本安全等级）配置

5.2.2.1 适用范围和概念

5.2.2.2 配置步骤

5.2.2.2.1 配置文件 elasticsearch.yml

5.2.2.2.2 生成密钥文件

5.2.2.2.3 为节点颁发证书

5.2.2.2.4 把证书拷贝的每个节点

5.2.2.2.5 启动所有节点

5.2.2.2.6 设置集群密码

5.2.2.2.7 配置Kibana

5.2.3 基本安全+HTTPS

5.2.3.1 前置条件

5.2.3.2 配置步骤

5.2.3.2.1 保证每个节点的服务处于停止状态

5.2.3.2.2 生成证书签名文件

5.2.3.2.2.1 当询问您是否要生成 CSR 时，请输入 n

5.2.3.2.2.2 当询问您是否要使用现有 CA 时，输入 y

5.2.3.2.2.3?输入您的 CA 的路径

5.2.3.2.2.4?输入您的 CA 的密码

5.2.3.2.2.5?输入证书的到期值

5.2.3.2.2.6?当询问您是否要为每个节点生成一个证书时，输入 y

5.2.3.2.2.7?出现提示时，输入集群中第一个节点的名称

5.2.3.2.2.8?输入用于连接到您的第一个节点的所有主机名

5.2.3.2.2.9?输入客户端可用于连接到您的节点的 IP 地址

5.2.3.2.3 设置私钥密码

5.2.3.2.3.1 解压elasticsearch-ssl-http.zip文件

5.2.3.2.3.3 修改 elasticsearch.yml 文件

5.2.3.2.3.4 复制证书到config目录中

5.2.3.2.3.5 把私钥密码添加到 Elasticsearch 的安全设置中

5.2.3.3 启动节点服务

5.2.3.4 配置Kibana

5.2.3.4.1 拷贝证书到config下

5.2.3.4.2 修改Kibana配置

---

一、环境描述

系统环境描述：本教程基于CentOS 8.0版本虚拟机

es集群规划：

节点	Master（主节点/候选节点）	Master（紧选举）	Data(数据节点)	Kibana	IP
master	*				192.168.31.215
node1	*				192.168.31.8
node2		*		*	192.168.31.9
node3			*		192.168.31.167
node4			*		192.168.31.154

软件版本：
Elasticsearch ? ?8.11.1
kibana ? ? ?8.11.1

二、安装 ES

2.1 下载Elasticsearch

wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-8.11.1-linux-x86_64.tar.gz

2.2 解压Elasticsearch

tar -zxvf elasticsearch-8.11.1-linux-x86_64.tar.gz

mv ?elasticsearch-8.11.1 /usr/local/

2.3 创建es服务账号/密码

#ES无法通过root账号启动服务
(elastic/xiaoning)
# 创建账号
useradd elastic

# 创建密码
passwd elastic

# 给账号密码做目录授权
chown -R elastic:elastic /usr/local/elasticsearch-8.11.1

2.3 修改服务器配置

vim ?/etc/security/limits.conf

hard nofile 65536
soft nofile 65636
elastic soft memlock unlimited
elastic hard memlock unlimited

vim /etc/sysctl.conf

vm.max_map_count=262144
vm.swappiness=0

#重启
sysctl -p

ulimit -l unlimited

提示：以上操作，所有节点都需要操作

2.4 配置节点

2.4.1 配置说明

cluster.name：集群名称，节点根据集群名称确定是否是同一个集群。

node.name：节点名称，集群内唯一。

node.roles：[ data, master, voting_only ]，node.roles配置项如果没有显式的配置，那么当前节点拥有所有角色（master、data、ingest、ml、remote_cluster_client、transform）。如果你放开了注释，或者手动显式添加了 node.roles配置项，那么当前节点仅拥有此配置项的中括号中显式配置的角色，没有配置的角色将被阉割。因此如果在不熟悉角色配置的情况下，不要轻易修改角色配置值， 切勿画蛇添足 。

network.host：节点对外提供服务的地址以及集群内通信的ip地址

bootstrap.memory_lock:?Swapping对性能和节点稳定性非常不利，应该不惜一切代价避免。它可能导致GC持续几分钟而不是几毫秒，并且可能导致节点响应缓慢甚至与集群断开连接。在弹性分布式系统中，使用Swap还不如让操作系统杀死节点效果更好。可以通过设置 bootstrap.memory_lock: true 以防止任何 Elasticsearch 堆内存被换出。

http.port：对外提供服务的端口号

discovery.seed_hosts:?集群初始化的种子节点，可配置部分或全部候选节点，大型集群可通过嗅探器发现剩余节点，考试环境配置全部节点即可

cluster.initial_master_nodes：节点初始 active master节点, 必须是有master角色的节点，即必须是候选节点，但并不是必须配置所有候选节点。生产模式下启动新集群时，必须明确列出应在第一次选举中计算其选票的候选节点。第一次成功形成集群后，cluster.initial_master_nodes从每个节点的配置中删除设置。重新启动集群或向现有集群添加新节点时，请勿使用此设置。

2.4.2 配置高可用集群

2.4.2.1 maser节点服务配置

vim elasticsearch.yml

cluster.name: ning_cluster
node.name: ning_cluster_node-1
node.roles: [master]
path.data: /usr/local/elasticsearch-8.11.1/data
path.logs: /usr/local/elasticsearch-8.11.1/logs
bootstrap.memory_lock: true
network.host: 192.168.31.215
http.port: 9200
transport.port: 9300
xpack.security.enabled: false
discovery.seed_hosts: ["192.168.31.215:9300", "192.168.31.8:9300","192.168.31.9:9300", "192.168.31.167:9300","192.168.31.154:9300"]
cluster.initial_master_nodes: ["ning_cluster_node-1"]

2.4.2.2 node1 节点服务配置

vim elasticsearch.yml

cluster.name: ning_cluster
node.name: ning_cluster_node-2
node.roles: [master]
path.data: /usr/local/elasticsearch-8.11.1/data
path.logs: /usr/local/elasticsearch-8.11.1/logs
bootstrap.memory_lock: true
network.host: 192.168.31.8
http.port: 9200
transport.port: 9300
xpack.security.enabled: false
discovery.seed_hosts: ["192.168.31.215:9300", "192.168.31.8:9300","192.168.31.9:9300", "192.168.31.167:9300","192.168.31.154:9300"]
cluster.initial_master_nodes: ["ning_cluster_node-1"]

2.4.2.3 node2 节点服务配置

vim elasticsearch.yml

cluster.name: ning_cluster
node.name: ning_cluster_node-3
node.roles: [master,data,voting_only]
path.data: /usr/local/elasticsearch-8.11.1/data
path.logs: /usr/local/elasticsearch-8.11.1/logs
bootstrap.memory_lock: true
network.host: 192.168.31.9
http.port: 9200
transport.port: 9300
xpack.security.enabled: false
discovery.seed_hosts: ["192.168.31.215:9300", "192.168.31.8:9300","192.168.31.9:9300", "192.168.31.167:9300","192.168.31.154:9300"]
cluster.initial_master_nodes: ["ning_cluster_node-1"]

2.4.2.3 node3 节点服务配置

vim elasticsearch.yml

cluster.name: ning_cluster
node.name: ning_cluster_node-4
node.roles: [data]
path.data: /usr/local/elasticsearch-8.11.1/data
path.logs: /usr/local/elasticsearch-8.11.1/logs
bootstrap.memory_lock: true
network.host: 192.168.31.167
http.port: 9200
transport.port: 9300
xpack.security.enabled: false
discovery.seed_hosts: ["192.168.31.215:9300", "192.168.31.8:9300","192.168.31.9:9300", "192.168.31.167:9300","192.168.31.154:9300"]
cluster.initial_master_nodes: ["ning_cluster_node-1"]

2.4.2.3 node4 节点服务配置

vim elasticsearch.yml

cluster.name: ning_cluster
node.name: ning_cluster_node-5
node.roles: [data]
path.data: /usr/local/elasticsearch-8.11.1/data
path.logs: /usr/local/elasticsearch-8.11.1/logs
bootstrap.memory_lock: true
network.host: 192.168.31.154
http.port: 9200
transport.port: 9300
xpack.security.enabled: false
discovery.seed_hosts: ["192.168.31.215:9300", "192.168.31.8:9300","192.168.31.9:9300", "192.168.31.167:9300","192.168.31.154:9300"]
cluster.initial_master_nodes: ["ning_cluster_node-1"]

2.4.3 服务启动

#前台进程

./bin/elasticsearch

#后台启动 守护进程

./bin/elasticsearch -d

#推荐方式（保存进程号 不占用窗口，并且方便杀进程）:

./bin/elasticsearch -d -p pid

2.4.4 验证服务启动有没有成功

2.4.4.1 ps查看有没有es进程

ps -ef|grep elastic

2.4.4.2 访问服务

直接浏览器输入：

http://192.168.31.8:9200/

出现以上内容则说明启动成功。

提示：所有节点都需要执行上述命令

三、部署Kibana

3.1 下载Kibana

wget https://artifacts.elastic.co/downloads/kibana/kibana-8.11.1-linux-x86_64.tar.gz

3.2 解压

tar -zxvf kibana-8.11.1-linux-x86_64.tar.gz

3.3 配置Kibana

server.port: 5601
server.host: "192.168.31.9"
elasticsearch.hosts: ["192.168.31.215:9200", "192.168.31.8:9200","192.168.31.9:9200", "192.168.31.167:9200","192.168.31.154:9200"]

3.4 ?给账号密码做目录授权

chown -R elastic:elastic /usr/local/kibana-8.11.1

3.5 启动服务

./bin/kibana

3.6 访问Kibana

浏览器直接访问：http://192.168.31.9:5601/

四、安装Head 插件

4.1 下载Head插件

https://github.com/mobz/elasticsearch-head

4.2 修改Gruntfile.js文件

#添加
hostname:'*',

4.3 修改ES配置文件

#ES配置文件中设置允许跨域
vim elasticsearch.yml

http.cors.enabled: true
http.cors.allow-origin: "*"

4.3 安装head 服务

进入 elasticsearch-head 解压目录，执行命令

npm install

4.4 启动服务

执行命令：

npm run start

4.5 访问Head

浏览器直接输入：http://localhost:9100

五、ES集群安全

5.1 集群安全策略

5.1.1 版本支持

不同版本对 Security 的支持不同，对于 ES 6.8 及之前版本，需要手动安装 x-pack，对于7.X以上版本 X-Pack?已经内置，所以不需要额外的操作。

5.1.2 支持的策略

不同环境对集群安全的策略等级要求不同，主要区别在于你是开发环境还是生产集群环境。ES提供了三个不同等级的安全策略：最低安全等级、基本安全等级、基本安全 + HTTPS
就实际而言，在处于 ES 学习 或者本地开发模式下，是可以关闭 Security 功能的，因为如果是以学习为目的，不存在所谓的数据安全问题，因为数据即便被删除也是没关系的。而如果在学习或开发模式下也开启安全策略，意味着你需要频繁的跟密码较劲，实属没必要。

5.2 不同策略的实现

5.2.1 Minimal security（最低安全等级）配置

5.2.1.1 Minimal security配置步骤

5.2.1.1.1 启动Security

vim vim elasticsearch.yml

xpack.security.enabled: true

5.2.1.1.2 重启节点服务

# kill -9 [pid]
./bin/elasticsearch -d -p pid

提示：单节点环境下，能启动成功，集群环境的安全策略最低要求配置成基本安全等级模式，所以这里是启动不了的，过不了集群的安全检查，会直接报错

5.2.1.1.2 创建用户密码

./bin/elasticsearch-setup-passwords interactive

提示：单节点环境下，可以按照这个步骤，集群环境下，需要完成Basic security（基本安全等级）配置后才能创建

5.2.1.1.3 配置Kibana的账号信息

提示：单节点环境下，可以按照这个步骤，集群环境下，需要完成Basic security（基本安全等级）配置后才能配置Kibana账号信息

5.2.2 Basic security（基本安全等级）配置

5.2.2.1 适用范围和概念

最低安全配置仅适用于单节点服务，而不符合集群的最低安全要求。如果集群有多个节点，那么您必须在节点之间配置 TLS。如果您不启用 TLS，无法启动生产集群。

传输层依赖双向 TLS 对节点进行加密和认证。正确应用 TLS 可确保恶意节点无法加入集群并与其他节点交换数据。虽然在 HTTP 层实现用户名和密码身份验证对于保护本地集群很有用，但节点之间的通信安全需要 TLS。

Transport 协议是 Elasticsearch 节点用于相互通信的协议的名称。此名称特定于 Elasticsearch，用于区分传输端口（默认 9300）和 HTTP 端口（默认 9200）。节点使用传输端口相互通信，REST 客户端使用 HTTP 端口与 Elasticsearch 通信。

5.2.2.2 配置步骤

5.2.2.2.1 配置文件 elasticsearch.yml

# 开启ssl访问请求头配置(head访问需要)
http.cors.allow-headers: Authorization,X-Requested-With,Content-Length,Content-Type
#配置SSL证书
xpack.security.transport.ssl.enabled: true

#设置验证模式为：certificate
xpack.security.transport.ssl.verification_mode: certificate

#设置证书路径
xpack.security.transport.ssl.key: certs/elastic-certificates.key
xpack.security.transport.ssl.certificate: certs/elastic-certificates.crt
xpack.security.transport.ssl.certificate_authorities: certs/ca.crt

5.2.2.2.2 生成密钥文件

提示：

1、删除各个es节点$ELASTICSEARCH_HOME/config目录下的elasticsearch.keystore文件
2、清空各个es节点$ELASTICSEARCH_HOME/ 下的data和log目录

./bin/elasticsearch-certutil ca --pem --out ca.zip --days 36500 -s

5.2.2.2.3 为节点颁发证书

#解压ca.zip
unzip ca.zip

# 颁发证书
./bin/elasticsearch-certutil cert --ca-cert ca/ca.crt --ca-key ca/ca.key --pem --name elastic-certificates --out elastic-certificates.zip --days 36500 -s

5.2.2.2.4 把证书拷贝的每个节点

#每个节点的config文件夹下，新建一个certs目录

mkdir certs

#拷贝文件到节点的cert目录下

#解压证书文件
unzip elastic-certificates.zip
#拷贝到certs文件夹下
cp ca/* elastic-certificates/* config/certs

# 拷贝给其他机器
scp config/certs/* elastic@node1:/usr/local/elasticsearch-8.11.1/config/certs/

scp config/certs/* elastic@node2:/usr/local/elasticsearch-8.11.1/config/certs/

scp config/certs/* elastic@node3:/usr/local/elasticsearch-8.11.1/config/certs/

scp config/certs/* elastic@node4:/usr/local/elasticsearch-8.11.1/config/certs/

5.2.2.2.5 启动所有节点

5.2.2.2.6 设置集群密码

bin/elasticsearch-setup-passwords interactive

elastic xiaoning
apm_system xiaoning
kibana_system xiaoning
logstash_system xiaoning
beats_system xiaoning
remote_monitoring_user xiaoning

5.2.2.2.7 配置Kibana

# 配置账号密码
vim kibana.yml

elasticsearch.username: "kibana_system"
elasticsearch.password: "xiaoning"

5.2.3 基本安全+HTTPS

在生产环境中，如果没有基于HTTPS上启用 TLS，那么部分安全功能会无法使用，比如Token和API密钥。

官方文档参考：

Set up basic security for the Elastic Stack plus secured HTTPS traffic | Elasticsearch Guide [8.11] | Elastic

5.2.3.1 前置条件

启用 HTTPS 必须要配置集群 Security，即基础集群安全策略。

5.2.3.2 配置步骤

5.2.3.2.1 保证每个节点的服务处于停止状态

5.2.3.2.2 生成证书签名文件

./bin/elasticsearch-certutil http

提示：
此命令会生成一个 .zip文件，其中包含用于 Elasticsearch 和 Kibana 的证书和密钥。每个文件夹都包含一个 README.txt 解释如何使用这些文件。

5.2.3.2.2.1 当询问您是否要生成 CSR 时，请输入 n

5.2.3.2.2.2 当询问您是否要使用现有 CA 时，输入 y

5.2.3.2.2.3?输入您的 CA 的路径

elastic-stack-ca.p12这是您为集群生成 的文件的绝对路径

5.2.3.2.2.4?输入您的 CA 的密码

5.2.3.2.2.5?输入证书的到期值

您可以输入年、月或日的有效期。例如，输入 90D90 天.

5.2.3.2.2.6?当询问您是否要为每个节点生成一个证书时，输入 y

每个证书都有自己的私钥，并针对特定的主机名或 IP 地址颁发.

5.2.3.2.2.7?出现提示时，输入集群中第一个节点的名称

使用生成节点证书时使用的相同节点名称.

5.2.3.2.2.8?输入用于连接到您的第一个节点的所有主机名

这些主机名将作为 DNS 名称添加到证书的主题备用名称 (SAN) 字段中。
列出用于通过 HTTPS 连接到集群的每个主机名和变体

5.2.3.2.2.9?输入客户端可用于连接到您的节点的 IP 地址

到此，证书生成完成，可以看到生成的证书名称

5.2.3.2.3 设置私钥密码

5.2.3.2.3.1 解压elasticsearch-ssl-http.zip文件

unzip elasticsearch-ssl-http.zip

5.2.3.2.3.3 修改 elasticsearch.yml 文件

#启用 HTTPS
xpack.security.http.ssl.enabled: true
#指定 http.p12 安全证书的位置
xpack.security.http.ssl.keystore.path: http.p12

5.2.3.2.3.4 复制证书到config目录中

#拷贝到本机
cp elasticsearch/http.p12 config/
# 拷贝给其他机器

scp elasticsearch/http.p12 elastic@node1:/usr/local/elasticsearch-8.11.1/config/

scp elasticsearch/http.p12 elastic@node2:/usr/local/elasticsearch-8.11.1/config/

scp elasticsearch/http.p12 elastic@node3:/usr/local/elasticsearch-8.11.1/config/

scp elasticsearch/http.p12 elastic@node4:/usr/local/elasticsearch-8.11.1/config/

5.2.3.2.3.5 把私钥密码添加到 Elasticsearch 的安全设置中

#每个节点都需要执行，每个节点的密码可以设置的并不一样，生产环境可以做好密码记录，这里我为了方便，就设置一样了
./bin/elasticsearch-keystore add xpack.security.http.ssl.keystore.secure_password
输入密码：xiaoning

5.2.3.3 启动节点服务

5.2.3.4 配置Kibana

5.2.3.4.1 拷贝证书到config下

scp kibana/elasticsearch-ca.pem elastic@node2:/usr/local/kibana-8.11.1/config

5.2.3.4.2 修改Kibana配置

vim kibana.yml

elasticsearch.ssl.certificateAuthorities:[config/elasticsearch-ca.pem]

elasticsearch.hosts: ["https://192.168.31.215:9200", "https://192.168.31.8:9200","https://192.168.31.9:9200", "https://192.168.31.167:9200","https://192.168.31.154:9200"]

以上之后，kibana 与Elasticsearch之间的SSL加密通道传输就完成了。

好了，本次分享就到这里，如果帮助到大家，欢迎大家点赞+关注+收藏，有疑问也欢迎大家评论留言！