ചോർച്ച ഒഴിവാക്കാൻ എങ്ങനെ ഇലാസ്റ്റിക് സെർച്ച് കോൺഫിഗർ ചെയ്യാം

കഴിഞ്ഞ ഒരു വർഷമായി, ഡാറ്റാബേസുകളിൽ നിന്ന് നിരവധി ചോർച്ചകൾ ഉണ്ടായിട്ടുണ്ട് ഇലാസ്റ്റിസെര്ച്ച് (നോക്കൂ, നോക്കൂ и നോക്കൂ). മിക്ക കേസുകളിലും, വ്യക്തിഗത ഡാറ്റ ഡാറ്റാബേസിൽ സംഭരിച്ചു. ഡാറ്റാബേസ് വിന്യസിച്ചതിന് ശേഷം, കുറച്ച് ലളിതമായ ക്രമീകരണങ്ങൾ പരിശോധിക്കാൻ അഡ്മിനിസ്ട്രേറ്റർമാർ ബുദ്ധിമുട്ടിയിരുന്നെങ്കിൽ ഈ ചോർച്ചകൾ ഒഴിവാക്കാമായിരുന്നു. ഇന്ന് നമ്മൾ അവരെക്കുറിച്ച് സംസാരിക്കും.

152-FZ, Cloud-152 ന്റെ ആവശ്യകതകൾ പാലിക്കുന്ന ഞങ്ങളുടെ IaaS പ്ലാറ്റ്‌ഫോമിൽ ലോഗുകൾ സംഭരിക്കുന്നതിനും വിവര സുരക്ഷാ ടൂളുകൾ, OS, സോഫ്റ്റ്‌വെയർ എന്നിവയുടെ ലോഗുകൾ വിശകലനം ചെയ്യുന്നതിനും ഞങ്ങളുടെ പ്രാക്ടീസിൽ ഞങ്ങൾ Elasticsearch ഉപയോഗിക്കുന്നുവെന്ന് ഉടൻ തന്നെ ഒരു റിസർവേഷൻ നടത്താം. 

ഡാറ്റാബേസ് ഇൻറർനെറ്റിലേക്ക് "പറ്റിനിൽക്കുന്നുണ്ടോ" എന്ന് ഞങ്ങൾ പരിശോധിക്കുന്നു

ചോർച്ചയുടെ അറിയപ്പെടുന്ന മിക്ക കേസുകളിലും (നോക്കൂ, നോക്കൂ) ആക്രമണകാരി ഡാറ്റയിലേക്ക് ലളിതമായും അപ്രസക്തമായും ആക്സസ് നേടി: ഡാറ്റാബേസ് ഇൻറർനെറ്റിൽ പ്രസിദ്ധീകരിച്ചു, ആധികാരികത കൂടാതെ അതിലേക്ക് കണക്റ്റുചെയ്യാൻ സാധിച്ചു.  

ആദ്യം, ഇന്റർനെറ്റിൽ പ്രസിദ്ധീകരിക്കുന്നത് കൈകാര്യം ചെയ്യാം. എന്തുകൊണ്ടാണ് ഇത് സംഭവിക്കുന്നത്? ഇലാസ്റ്റിക് സെർച്ചിന്റെ കൂടുതൽ വഴക്കമുള്ള പ്രവർത്തനത്തിന് എന്നതാണ് വസ്തുത ശുപാർശചെയ്യുന്നു മൂന്ന് സെർവറുകളുടെ ഒരു ക്ലസ്റ്റർ സൃഷ്ടിക്കുക. ഡാറ്റാബേസുകൾ പരസ്പരം ആശയവിനിമയം നടത്തുന്നതിന്, നിങ്ങൾ പോർട്ടുകൾ തുറക്കേണ്ടതുണ്ട്. തൽഫലമായി, അഡ്മിനിസ്ട്രേറ്റർമാർ ഡാറ്റാബേസിലേക്കുള്ള പ്രവേശനം ഒരു തരത്തിലും നിയന്ത്രിക്കുന്നില്ല, കൂടാതെ നിങ്ങൾക്ക് എവിടെനിന്നും ഡാറ്റാബേസിലേക്ക് കണക്റ്റുചെയ്യാനാകും. ഡാറ്റാബേസ് പുറത്ത് നിന്ന് ആക്‌സസ് ചെയ്യാനാകുമോ എന്ന് പരിശോധിക്കുന്നത് എളുപ്പമാണ്. ബ്രൗസറിൽ നൽകിയാൽ മതി http://[IP/Имя Elasticsearch]:9200/_cat/nodes?v

നിങ്ങൾക്ക് പ്രവേശിക്കാൻ കഴിയുമെങ്കിൽ, അത് അടയ്ക്കാൻ ഓടുക.

ഡാറ്റാബേസിലേക്കുള്ള കണക്ഷൻ പരിരക്ഷിക്കുന്നു

ആധികാരികത ഉറപ്പാക്കാതെ ഡാറ്റാബേസിലേക്ക് കണക്റ്റുചെയ്യുന്നത് അസാധ്യമാക്കുന്ന തരത്തിൽ ഞങ്ങൾ ഇപ്പോൾ അത് നിർമ്മിക്കും.

ഇലാസ്റ്റിക് സെർച്ചിന് ഡാറ്റാബേസിലേക്കുള്ള ആക്‌സസ് പരിമിതപ്പെടുത്തുന്ന ഒരു പ്രാമാണീകരണ മൊഡ്യൂൾ ഉണ്ട്, എന്നാൽ ഇത് പണമടച്ചുള്ള എക്സ്-പാക്ക് പ്ലഗിൻ സെറ്റിൽ മാത്രമേ ലഭ്യമാകൂ (1 മാസത്തെ സൗജന്യ ഉപയോഗം).

2019 അവസാനത്തോടെ, ആമസോൺ അതിന്റെ സംഭവവികാസങ്ങൾ തുറന്നു, അത് എക്സ്-പാക്കുമായി ഓവർലാപ്പ് ചെയ്യുന്നു എന്നതാണ് നല്ല വാർത്ത. ഒരു ഡാറ്റാബേസിലേക്ക് കണക്‌റ്റ് ചെയ്യുമ്പോൾ പ്രാമാണീകരണ പ്രവർത്തനം ഇലാസ്റ്റിക്‌സേർച്ച് 7.3.2 പതിപ്പിനുള്ള ഒരു സൗജന്യ ലൈസൻസിന് കീഴിൽ ലഭ്യമാണ്, കൂടാതെ ഇലാസ്റ്റിക് സെർച്ച് 7.4.0 നായുള്ള ഒരു പുതിയ പതിപ്പ് ഇതിനകം പ്രവർത്തനത്തിലാണ്.

ഈ പ്ലഗിൻ ഇൻസ്റ്റാൾ ചെയ്യാൻ എളുപ്പമാണ്. സെർവർ കൺസോളിലേക്ക് പോയി റിപ്പോസിറ്ററി ബന്ധിപ്പിക്കുക:

RPM അടിസ്ഥാനമാക്കി:

curl https://d3g5vo6xdbdb9a.cloudfront.net/yum/opendistroforelasticsearch-artifacts.repo -o /etc/yum.repos.d/opendistroforelasticsearch-artifacts.repo

yum update

yum install opendistro-security

DEB അടിസ്ഥാനമാക്കി:

wget -qO ‐ https://d3g5vo6xdbdb9a.cloudfront.net/GPG-KEY-opendistroforelasticsearch | sudo apt-key add -

SSL വഴി സെർവറുകൾ തമ്മിലുള്ള ആശയവിനിമയം സജ്ജീകരിക്കുന്നു

പ്ലഗിൻ ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ, ഡാറ്റാബേസിലേക്ക് ബന്ധിപ്പിക്കുന്ന പോർട്ടിന്റെ കോൺഫിഗറേഷൻ മാറുന്നു. ഇത് SSL എൻക്രിപ്ഷൻ പ്രവർത്തനക്ഷമമാക്കുന്നു. ക്ലസ്റ്റർ സെർവറുകൾ പരസ്പരം പ്രവർത്തിക്കുന്നത് തുടരുന്നതിന്, നിങ്ങൾ SSL ഉപയോഗിച്ച് അവ തമ്മിലുള്ള ഇടപെടൽ ക്രമീകരിക്കേണ്ടതുണ്ട്.

സ്വന്തം സർട്ടിഫിക്കറ്റ് അധികാരത്തോടെയോ അല്ലാതെയോ ഹോസ്റ്റുകൾക്കിടയിൽ വിശ്വാസം സ്ഥാപിക്കാൻ കഴിയും. ആദ്യ രീതി ഉപയോഗിച്ച്, എല്ലാം വ്യക്തമാണ്: നിങ്ങൾ CA സ്പെഷ്യലിസ്റ്റുകളെ ബന്ധപ്പെടേണ്ടതുണ്ട്. നമുക്ക് നേരെ രണ്ടാമത്തേതിലേക്ക് പോകാം.

1. മുഴുവൻ ഡൊമെയ്ൻ നാമവും ഉപയോഗിച്ച് ഒരു വേരിയബിൾ സൃഷ്ടിക്കുക:

   export DOMAIN_CN="example.com"

2. ഒരു സ്വകാര്യ കീ സൃഷ്ടിക്കുക:

   openssl genrsa -out root-ca-key.pem 4096

3. റൂട്ട് സർട്ടിഫിക്കറ്റിൽ ഒപ്പിടുക. ഇത് സുരക്ഷിതമായി സൂക്ഷിക്കുക: അത് നഷ്‌ടപ്പെടുകയോ വിട്ടുവീഴ്‌ച ചെയ്യുകയോ ചെയ്‌താൽ, എല്ലാ ഹോസ്റ്റുകൾക്കുമിടയിലുള്ള വിശ്വാസം പുനഃക്രമീകരിക്കേണ്ടതുണ്ട്.

   openssl req -new -x509 -sha256 -subj "/C=RU/ST=Moscow/O=Moscow, Inc./CN=${DOMAIN_CN}" 
   -key root-ca-key.pem -out root-ca.pem

4. ഒരു അഡ്മിനിസ്ട്രേറ്റർ കീ സൃഷ്ടിക്കുക:

   openssl genrsa -out admin-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in admin-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out admin-key.pem

5. സർട്ടിഫിക്കറ്റിൽ ഒപ്പിടാൻ ഒരു അഭ്യർത്ഥന സൃഷ്ടിക്കുക:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${DOMAIN_CN}/CN=admin " 
   -key admin-key.pem -out admin.csr

6. ഒരു അഡ്മിനിസ്ട്രേറ്റർ സർട്ടിഫിക്കറ്റ് സൃഷ്ടിക്കുക:

   openssl x509 -req -extensions usr_cert -in admin.csr -CA root-ca.pem 
   -CAkey root-ca-key.pem -CAcreateserial -sha256 -out admin.pem

7. ഇലാസ്റ്റിക് സെർച്ച് നോഡിനായി സർട്ടിഫിക്കറ്റുകൾ സൃഷ്ടിക്കുക:

   export NODENAME="node-01"
   openssl genrsa -out ${NODENAME}-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in ${NODENAME}-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out ${NODENAME}-key.pem

8. ഒരു ഒപ്പ് അഭ്യർത്ഥന സൃഷ്ടിക്കുക:

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${NODENAME}.${DOMAIN_CN}"  
   -addext"subjectAltName=DNS:${NODENAME}.${DOMAIN_CN},DNS:www.${NODENAME}.${DOMAIN_CN}" 
   -key ${NODENAME}-key.pem -out ${NODENAME}.csr

9. സർട്ടിഫിക്കറ്റിൽ ഒപ്പിടുന്നു:

   openssl x509 -req -in node.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial 
   -sha256 -out node.pem

10. ഇനിപ്പറയുന്ന ഫോൾഡറിൽ ഇലാസ്റ്റിക് തിരയൽ നോഡുകൾക്കിടയിൽ സർട്ടിഫിക്കറ്റ് സ്ഥാപിക്കുക:

    /etc/elasticsearch/

    
    ഞങ്ങൾക്ക് ഫയലുകൾ ആവശ്യമാണ്:

            node-01-key.pem
    	node-01.pem
    	admin-key.pem
    	admin.pem
    	root-ca.pem

11. ഇഷ്‌ടാനുസൃതമാക്കുക /etc/elasticsearch/elasticsearch.yml - സർട്ടിഫിക്കറ്റുകൾ ഉള്ള ഫയലുകളുടെ പേര് ഞങ്ങൾ സൃഷ്ടിച്ചവയിലേക്ക് മാറ്റുക:

    opendistro_security.ssl.transport.pemcert_filepath: node-01.pem                                                                                                                                                                                    
    	opendistro_security.ssl.transport.pemkey_filepath: node-01-key.pem                                                                                                                                                                                 
    	opendistro_security.ssl.transport.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                              
    	opendistro_security.ssl.transport.enforce_hostname_verification: false                                                                                                                                                                             
    	opendistro_security.ssl.http.enabled: true                                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemcert_filepath: node-01.pem                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemkey_filepath: node-01-key.pem                                                                                                                                                                                      
    	opendistro_security.ssl.http.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                                   
    	opendistro_security.allow_unsafe_democertificates: false                                                                                                                                                                                           
    	opendistro_security.allow_default_init_securityindex: true                                                                                                                                                                                         
    	opendistro_security.authcz.admin_dn:                                                                                                                                                                                                               
    	  − CN=admin,CN=example.com,O=Moscow Inc.,ST=Moscow,C=RU                                                                                                                                                                                                  
    	opendistro_security.nodes_dn:                                                                                                                                                                                                                      
    	  − CN=node-01.example.com,O=Moscow Inc.,ST=Moscow,C=RU

ആന്തരിക ഉപയോക്താക്കൾക്കുള്ള പാസ്‌വേഡുകൾ മാറ്റുന്നു

1. ചുവടെയുള്ള കമാൻഡ് ഉപയോഗിച്ച്, ഞങ്ങൾ കൺസോളിലേക്ക് പാസ്‌വേഡ് ഹാഷ് ഔട്ട്‌പുട്ട് ചെയ്യുന്നു:

   sh ${OD_SEC}/tools/hash.sh -p [пароль]

2. ഫയലിലെ ഹാഷ് സ്വീകരിച്ച ഒന്നിലേക്ക് മാറ്റുക:

   /usr/share/elasticsearch/plugins/opendistro_security/securityconfig/internal_users.yml

OS-ൽ ഒരു ഫയർവാൾ സജ്ജീകരിക്കുന്നു

1. ഫയർവാൾ ആരംഭിക്കാൻ അനുവദിക്കുക:

   systemctl enable firewalld

2. നമുക്ക് ഇത് സമാരംഭിക്കാം:

   systemctl start firewalld

3. ഇലാസ്റ്റിക് തിരയലിലേക്ക് കണക്ഷൻ അനുവദിക്കുക:

   firewall-cmd --set-default-zone work
   firewall-cmd --zone=work --add-port=9200/TCP --permanent

4. ഫയർവാൾ നിയമങ്ങൾ വീണ്ടും ലോഡുചെയ്യുക:

   firewall-cmd --reload

5. പ്രവർത്തന നിയമങ്ങൾ ഇതാ:

   firewall-cmd --list-all

ഇലാസ്റ്റിക് സെർച്ചിൽ ഞങ്ങളുടെ എല്ലാ മാറ്റങ്ങളും പ്രയോഗിക്കുന്നു

1. പ്ലഗിൻ ഉപയോഗിച്ച് ഫോൾഡറിലേക്കുള്ള മുഴുവൻ പാതയും ഉപയോഗിച്ച് ഒരു വേരിയബിൾ സൃഷ്ടിക്കുക:

   export  OD_SEC="/usr/share/elasticsearch/plugins/opendistro_security/"

2. പാസ്‌വേഡുകൾ അപ്‌ഡേറ്റ് ചെയ്യുകയും ക്രമീകരണങ്ങൾ പരിശോധിക്കുകയും ചെയ്യുന്ന ഒരു സ്‌ക്രിപ്റ്റ് പ്രവർത്തിപ്പിക്കാം:

   ${OD_SEC}/tools/securityadmin.sh -cd ${OD_SEC}/securityconfig/ 
   -icl -nhnv -cacert /etc/elasticsearch/root-ca.pem 
   -cert /etc/elasticsearch/admin.pem  
   -key /etc/elasticsearch/admin-key.pem

3. മാറ്റങ്ങൾ പ്രയോഗിച്ചിട്ടുണ്ടോയെന്ന് പരിശോധിക്കുക:

   curl -XGET https://[IP/Имя Elasticsearch]:9200/_cat/nodes?v -u admin:[пароль] --insecure

അത്രയേയുള്ളൂ, അനധികൃത കണക്ഷനുകളിൽ നിന്ന് ഇലാസ്റ്റിക് സെർച്ചിനെ സംരക്ഷിക്കുന്ന ഏറ്റവും കുറഞ്ഞ ക്രമീകരണങ്ങളാണ് ഇവ.

അവലംബം: www.habr.com