Elasticsearch 来自 Kibana 开发工具的“证书已过期”

Question

我有一个 Elasticsearch 和 Kibana Helm 图表部署在我的 Kube.netes 集群上几年了，我一直在使用 Kibana 的开发工具来查询我的 Elasticsearch。从几天前开始我开始收到以下错误从 Kibana 的开发工具运行任何查询：

{"statusCode":502,"error":"Bad Gateway","message":"certificate has expired"}

但是当我尝试使用curl命令或只是打开浏览器并输入我的 Elasticsearch 的 url 和一些 uri 时，它起作用了，我得到了我需要的任何东西。 此外，当我尝试获取/_ssl/certificates字段时，它说证书的到期时间大约是一年，所以我确实看到使用的证书有效，但仍然出于某种原因我从开发工具。 任何人都知道我应该检查是否使用了其他证书？

编辑：添加 output 字段/_ssl/certificates ：

$ curl -k -u elastic:*** "https://localhost:9200/_ssl/certificates?pretty"

[
  {
    "path" : "/usr/share/elasticsearch/config/certs/tls.crt",
    "format" : "PEM",
    "alias" : null,
    "subject_dn" : "CN=***, O=***, L=***, ST=***, C=***",
    "serial_number" : "***",
    "has_private_key" : true,
    "expiry" : "2024-01-19T23:59:59.000Z"
  },
  {
    "path" : "/usr/share/elasticsearch/config/certs/tls.crt",
    "format" : "PEM",
    "alias" : null,
    "subject_dn" : "CN=***, O=***, L=***, ST=***, C=***",
    "serial_number" : "***",
    "has_private_key" : false,
    "expiry" : "2024-01-19T23:59:59.000Z"
  },
  {
    "path" : "/usr/share/elasticsearch/config/certs/tls.crt",
    "format" : "PEM",
    "alias" : null,
    "subject_dn" : "CN=DigiCert TLS RSA SHA256 2020 CA1, O=DigiCert Inc, C=US",
    "serial_number" : "***",
    "has_private_key" : false,
    "expiry" : "2031-04-13T23:59:59.000Z"
  },
  {
    "path" : "/usr/share/elasticsearch/config/certs/tls.crt",
    "format" : "PEM",
    "alias" : null,
    "subject_dn" : "CN=DigiCert Global Root CA, OU=www.digicert.com, O=DigiCert Inc, C=US",
    "serial_number" : "***",
    "has_private_key" : false,
    "expiry" : "2031-11-10T00:00:00.000Z"
  }
]

注意：将敏感信息替换为“***”。

Answer 1

看起来一个或多个节点上的 SSL 证书已过期。 要在 kibana.yml 中找到该节点kibana.yml并检查elasticsearch.hosts 。 Kibana 正在查询哪个节点，那个节点的证书已经过期。

您可以在本文的帮助下续订证书。