ပေါက်ကြားမှုများကို ရှောင်ရှားရန် Elasticsearch ကို ဘယ်လိုပြင်ဆင်မလဲ။

ပြီးခဲ့သောနှစ်တွင်၊ ဒေတာဘေ့စ်များမှပေါက်ကြားမှုများစွာရှိခဲ့သည်။ Elasticsearch (ဒီမှာ, ဒီမှာ и ဒီမှာ) များစွာသောအခြေအနေများတွင်၊ ကိုယ်ရေးကိုယ်တာအချက်အလက်များကိုဒေတာဘေ့စ်တွင်သိမ်းဆည်းထားသည်။ ဒေတာဘေ့စ်ကို အသုံးချပြီးနောက် စီမံခန့်ခွဲသူများသည် ရိုးရှင်းသော ဆက်တင်အချို့ကို စစ်ဆေးရန် အနှောင့်အယှက်ဖြစ်ပါက ဤပေါက်ကြားမှုများကို ရှောင်ရှားနိုင်မည်ဖြစ်သည်။ ဒီနေ့သူတို့အကြောင်းပြောမယ်။

ကျွန်ုပ်တို့၏အလေ့အကျင့်တွင် ကျွန်ုပ်တို့သည် 152-FZ၊ Cloud-152 ၏လိုအပ်ချက်များနှင့်ကိုက်ညီသည့် ကျွန်ုပ်တို့၏ IaaS ပလပ်ဖောင်းရှိ သတင်းအချက်အလက်လုံခြုံရေးကိရိယာများ၊ OS နှင့် ဆော့ဖ်ဝဲမှတ်တမ်းများကို မှတ်တမ်းများသိမ်းဆည်းရန်နှင့် ခွဲခြမ်းစိတ်ဖြာရန် Elasticsearch ကိုအသုံးပြု၍ ကြိုတင်စာရင်းသွင်းကြပါစို့။ 

ဒေတာဘေ့စ်သည် အင်တာနက်သို့ “ထွက်” ခြင်း ရှိ၊မရှိ စစ်ဆေးပါသည်။

ပေါက်ကြားမှုအများစုတွင် (ဒီမှာ, ဒီမှာ) တိုက်ခိုက်သူသည် ဒေတာကို ရိုးရိုးရှင်းရှင်းနှင့် ဟန်မဆောင်ဘဲ ဝင်ရောက်ခွင့်ရခဲ့သည်- ဒေတာဘေ့စ်ကို အင်တာနက်ပေါ်တွင် လွှင့်တင်ထားပြီး အထောက်အထားမခိုင်လုံဘဲ ၎င်းနှင့်ချိတ်ဆက်နိုင်သည်။  

ပထမဦးစွာ၊ အင်တာနက်ပေါ်တွင်ထုတ်ဝေခြင်းနှင့်ဆက်ဆံကြပါစို့။ ဘာကြောင့် ဒီလိုဖြစ်တာလဲ။ အမှန်မှာ Elasticsearch ၏ ပိုမိုပြောင်းလွယ်ပြင်လွယ်လည်ပတ်မှုအတွက်ဖြစ်သည်။ အကြံပြုခဲ့သည် ဆာဗာသုံးခု၏အစုအဝေးတစ်ခုဖန်တီးပါ။ ဒေတာဘေ့စ်များ အချင်းချင်း ဆက်သွယ်နိုင်ရန်၊ ဆိပ်ကမ်းများကို ဖွင့်ရန် လိုအပ်သည်။ ရလဒ်အနေဖြင့်၊ စီမံခန့်ခွဲသူများသည် ဒေတာဘေ့စ်သို့ ဝင်ရောက်ခွင့်ကို မည်သည့်နည်းနှင့်မျှ ကန့်သတ်မထားဘဲ မည်သည့်နေရာမှမဆို ဒေတာဘေ့စ်သို့ ချိတ်ဆက်နိုင်သည်။ ဒေတာဘေ့စ်ကို ပြင်ပမှ ဝင်ရောက်နိုင်မှု ရှိမရှိ စစ်ဆေးရန် လွယ်ကူသည်။ Browser ထဲကိုဝင်ရုံပါပဲ။ http://[IP/Имя Elasticsearch]:9200/_cat/nodes?v

ဝင်နိုင်ရင် ပိတ်ဖို့ ပြေးပါ။

ဒေတာဘေ့စ်သို့ချိတ်ဆက်မှုကိုကာကွယ်ခြင်း။

အထောက်အထားမခိုင်လုံဘဲ ဒေတာဘေ့စ်သို့ ချိတ်ဆက်ရန် မဖြစ်နိုင်စေရန် ယခု ကျွန်ုပ်တို့ ပြုလုပ်ပါမည်။

Elasticsearch တွင် ဒေတာဘေ့စ်သို့ ဝင်ရောက်ခွင့်ကို ကန့်သတ်ထားသည့် အထောက်အထားစိစစ်ခြင်း မော်ဂျူးတစ်ခု ရှိပြီး၊ သို့သော် ၎င်းကို အခပေး X-Pack plugin သတ်မှတ်မှုတွင်သာ ရနိုင်သည် (1 လ အခမဲ့ အသုံးပြုမှု)။

သတင်းကောင်းမှာ 2019 ခုနှစ် ဆောင်းဦးတွင် Amazon သည် X-Pack နှင့် ထပ်နေသော ၎င်း၏ ဖွံ့ဖြိုးတိုးတက်မှုများကို ဖွင့်လှစ်ခဲ့သည်။ ဒေတာဘေ့စ်တစ်ခုသို့ ချိတ်ဆက်သည့်အခါ အထောက်အထားစိစစ်ခြင်းလုပ်ဆောင်ချက်ကို Elasticsearch 7.3.2 ဗားရှင်းအတွက် အခမဲ့လိုင်စင်တစ်ခုအောက်တွင် ရရှိနိုင်ပြီး Elasticsearch 7.4.0 အတွက် ထုတ်ဝေမှုအသစ်သည် အလုပ်ဖြစ်နေပါပြီ။

ဤပလပ်အင်သည် တပ်ဆင်ရန် လွယ်ကူသည်။ ဆာဗာ ကွန်ဆိုးလ်သို့ သွားပြီး သိုလှောင်ရာကို ချိတ်ဆက်ပါ-

RPM အခြေခံ-

curl https://d3g5vo6xdbdb9a.cloudfront.net/yum/opendistroforelasticsearch-artifacts.repo -o /etc/yum.repos.d/opendistroforelasticsearch-artifacts.repo

yum update

yum install opendistro-security

DEB အခြေခံ-

wget -qO ‐ https://d3g5vo6xdbdb9a.cloudfront.net/GPG-KEY-opendistroforelasticsearch | sudo apt-key add -

SSL မှတစ်ဆင့် ဆာဗာများကြား အပြန်အလှန်ဆက်သွယ်မှုကို စနစ်ထည့်သွင်းခြင်း။

ပလပ်အင်ကို ထည့်သွင်းသောအခါ၊ ဒေတာဘေ့စ်သို့ ချိတ်ဆက်သည့် ဆိပ်ကမ်း၏ဖွဲ့စည်းပုံသည် ပြောင်းလဲသွားသည်။ ၎င်းသည် SSL ကုဒ်ဝှက်ခြင်းကို လုပ်ဆောင်သည်။ အစုလိုက်ဆာဗာများ တစ်ခုနှင့်တစ်ခု ဆက်လက်လုပ်ဆောင်နိုင်စေရန်အတွက် SSL ကို အသုံးပြု၍ ၎င်းတို့အကြား အပြန်အလှန်ဆက်သွယ်မှုကို ချိန်ညှိရန် လိုအပ်ပါသည်။

အိမ်ရှင်များအကြား ယုံကြည်မှုကို ၎င်း၏ကိုယ်ပိုင် လက်မှတ် အာဏာပိုင်အဖွဲ့အစည်းဖြင့် သို့မဟုတ် မပါဘဲ ထူထောင်နိုင်သည်။ ပထမနည်းလမ်းဖြင့်၊ အားလုံးရှင်းပါသည်- သင်သည် CA ကျွမ်းကျင်သူများကို ဆက်သွယ်ရန်သာ လိုအပ်သည်။ ဒုတိယကို တည့်တည့်သွားကြည့်ရအောင်။

1. ဒိုမိန်းအမည်အပြည့်အစုံဖြင့် ကိန်းရှင်တစ်ခုဖန်တီးပါ-

   export DOMAIN_CN="example.com"

2. သီးသန့်သော့တစ်ခု ဖန်တီးပါ-

   openssl genrsa -out root-ca-key.pem 4096

3. root လက်မှတ်ကို လက်မှတ်ထိုးပါ။ ဘေးကင်းအောင်ထားပါ- ပျောက်ဆုံးသွားပါက သို့မဟုတ် အပေးအယူခံရပါက၊ လက်ခံသူအားလုံးကြားတွင် ယုံကြည်မှုကို ပြန်လည်ပြင်ဆင်ရန် လိုအပ်မည်ဖြစ်ပါသည်။

   openssl req -new -x509 -sha256 -subj "/C=RU/ST=Moscow/O=Moscow, Inc./CN=${DOMAIN_CN}" 
   -key root-ca-key.pem -out root-ca.pem

4. စီမံခန့်ခွဲသူကီး ဖန်တီးပါ-

   openssl genrsa -out admin-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in admin-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out admin-key.pem

5. လက်မှတ်ကို လက်မှတ်ထိုးရန် တောင်းဆိုချက်တစ်ခု ဖန်တီးပါ-

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${DOMAIN_CN}/CN=admin " 
   -key admin-key.pem -out admin.csr

6. စီမံခန့်ခွဲသူလက်မှတ်ကို ဖန်တီးပါ-

   openssl x509 -req -extensions usr_cert -in admin.csr -CA root-ca.pem 
   -CAkey root-ca-key.pem -CAcreateserial -sha256 -out admin.pem

7. Elasticsearch node အတွက် လက်မှတ်များ ဖန်တီးပါ-

   export NODENAME="node-01"
   openssl genrsa -out ${NODENAME}-key-temp.pem 4096
   openssl pkcs8 -inform PEM -outform PEM -in ${NODENAME}-key-temp.pem -topk8 -nocrypt 
   -v1 PBE-SHA1-3DES -out ${NODENAME}-key.pem

8. လက်မှတ်တောင်းဆိုမှုကို ဖန်တီးပါ-

   openssl req -new -subj "/C=RU/ST=Moscow/O=Moscow Inc./CN=${NODENAME}.${DOMAIN_CN}"  
   -addext"subjectAltName=DNS:${NODENAME}.${DOMAIN_CN},DNS:www.${NODENAME}.${DOMAIN_CN}" 
   -key ${NODENAME}-key.pem -out ${NODENAME}.csr

9. လက်မှတ်ကို လက်မှတ်ရေးထိုးခြင်း-

   openssl x509 -req -in node.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial 
   -sha256 -out node.pem

10. လက်မှတ်ကို Elasticsearch node များကြားတွင် အောက်ဖော်ပြပါ ဖိုင်တွဲတွင် ထည့်ပါ။

    /etc/elasticsearch/

    
    ဖိုင်များ လိုအပ်သည်

            node-01-key.pem
    	node-01.pem
    	admin-key.pem
    	admin.pem
    	root-ca.pem

11. Configuring /etc/elasticsearch/elasticsearch.yml - ကျွန်ုပ်တို့မှထုတ်ပေးသော အသိအမှတ်ပြုလက်မှတ်များဖြင့် ဖိုင်များ၏အမည်ကို ပြောင်းလဲပါ။

    opendistro_security.ssl.transport.pemcert_filepath: node-01.pem                                                                                                                                                                                    
    	opendistro_security.ssl.transport.pemkey_filepath: node-01-key.pem                                                                                                                                                                                 
    	opendistro_security.ssl.transport.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                              
    	opendistro_security.ssl.transport.enforce_hostname_verification: false                                                                                                                                                                             
    	opendistro_security.ssl.http.enabled: true                                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemcert_filepath: node-01.pem                                                                                                                                                                                         
    	opendistro_security.ssl.http.pemkey_filepath: node-01-key.pem                                                                                                                                                                                      
    	opendistro_security.ssl.http.pemtrustedcas_filepath: root-ca.pem                                                                                                                                                                                   
    	opendistro_security.allow_unsafe_democertificates: false                                                                                                                                                                                           
    	opendistro_security.allow_default_init_securityindex: true                                                                                                                                                                                         
    	opendistro_security.authcz.admin_dn:                                                                                                                                                                                                               
    	  − CN=admin,CN=example.com,O=Moscow Inc.,ST=Moscow,C=RU                                                                                                                                                                                                  
    	opendistro_security.nodes_dn:                                                                                                                                                                                                                      
    	  − CN=node-01.example.com,O=Moscow Inc.,ST=Moscow,C=RU

အတွင်းအသုံးပြုသူများအတွက် စကားဝှက်များကို ပြောင်းလဲခြင်း။

1. အောက်ဖော်ပြပါ command ကိုသုံးပြီး၊ ကျွန်ုပ်တို့သည် စကားဝှက် hash ကို console သို့ထုတ်ပေးသည်-

   sh ${OD_SEC}/tools/hash.sh -p [пароль]

2. ဖိုင်ရှိ hash ကို လက်ခံရရှိသူသို့ ပြောင်းပါ-

   /usr/share/elasticsearch/plugins/opendistro_security/securityconfig/internal_users.yml

OS တွင် firewall တစ်ခုတည်ဆောက်ခြင်း။

1. Firewall ကို စတင်ခွင့်ပြုပါ-

   systemctl enable firewalld

2. စတင်လိုက်ရအောင်-

   systemctl start firewalld

3. Elasticsearch သို့ ချိတ်ဆက်ခွင့်ပြုပါ-

   firewall-cmd --set-default-zone work
   firewall-cmd --zone=work --add-port=9200/TCP --permanent

4. Firewall စည်းမျဉ်းများကို ပြန်လည်စတင်ပါ။

   firewall-cmd --reload

5. ဤတွင် အလုပ်စည်းကမ်းများ။

   firewall-cmd --list-all

ကျွန်ုပ်တို့၏ပြောင်းလဲမှုအားလုံးကို Elasticsearch တွင်အသုံးပြုခြင်း။

1. ပလပ်အင်ဖြင့် ဖိုင်တွဲသို့ လမ်းကြောင်းအပြည့်အစုံဖြင့် ကိန်းရှင်တစ်ခုကို ဖန်တီးပါ-

   export  OD_SEC="/usr/share/elasticsearch/plugins/opendistro_security/"

2. စကားဝှက်များကို အပ်ဒိတ်လုပ်ပြီး ဆက်တင်များကို စစ်ဆေးပေးမည့် script တစ်ခုကို ဖွင့်ကြည့်ကြပါစို့။

   ${OD_SEC}/tools/securityadmin.sh -cd ${OD_SEC}/securityconfig/ 
   -icl -nhnv -cacert /etc/elasticsearch/root-ca.pem 
   -cert /etc/elasticsearch/admin.pem  
   -key /etc/elasticsearch/admin-key.pem

3. အပြောင်းအလဲများကို အသုံးပြုထားခြင်း ရှိ၊ မရှိ စစ်ဆေးပါ-

   curl -XGET https://[IP/Имя Elasticsearch]:9200/_cat/nodes?v -u admin:[пароль] --insecure

ဒါပါပဲ၊ ဒါတွေက Elasticsearch ကို ခွင့်ပြုချက်မရှိဘဲ ချိတ်ဆက်မှုတွေကနေ ကာကွယ်ပေးတဲ့ အနိမ့်ဆုံးဆက်တင်တွေပါ။

source: www.habr.com