如何使用 SSL 連接到 Elasticsearch 和 python？

Question

我正在嘗試使用 SSL 從 Python 連接到 Elasticsearch 節點。

我正在為此使用基本代碼：

from elasticsearch import Elasticsearch
from ssl import create_default_context

context = create_default_context(cafile="path/to/cafile.pem")
es = Elasticsearch("https://elasticsearch.url:port", ssl_context=context, http_auth=('elastic','yourpassword'))

來自： https://github.com/elastic/elasticsearch-py

我需要提供cafile.pem和http_auth參數。 在運行我的 Python 的服務器上，已經建立了 SSL 連接，因此我可以對 Elasticsearch 進行基本查詢。它是使用~/.ssh目錄中的鍵設置的： id_rsa ， id_rsa.pub 。

所以，現在我想知道我是否應該提供id_rsa.pub密鑰代替path/to/cafile.pem ，如果是，那么我需要更改~/.ssh文件夾的權限，這似乎不是一個好主意來自安全視角。

然后，我不確定.pub是否與.pem相同，是否需要先轉換它？ 那么，是否應該省略http_auth ，因為我在從終端進行簡單查詢時不使用任何密碼？

go 在Python 中根據最佳實踐設置對ES 和SSL 的訪問權限問題，我應該如何解決？

我嘗試了.pub並從中生成了pem ： https://serverfault.com/questions/706336/how-to-get-a-pem-file-from-ssh-key-pair

但是兩者都未能create_default_context ，並在context.load_verify_locations(cafile, capath, cadata)中出現unknown error 。

Answer 1

我的特殊情況的答案非常簡單。 我在這里找到了它：

https://elasticsearch-py.readthedocs.io/en/master/

es = Elasticsearch(['https://user:secret@localhost:443'])

剛剛在里面指定https url ，它馬上就解決了。

Answer 2

Elasticsearch Docker 圖像和 Python2.7。 已將 ssl 證書文件復制到項目的根目錄。 確保它是可讀的，所有權和組所有權將允許讀取訪問。 將 pass 和 login 放入常量。

es = Elasticsearch(
    hosts=[
            "https://localhost:9200"
    ],
    http_auth=(USR_LOGIN, USR_PASS),
    use_ssl=True,
    verify_certs=True,
    ca_certs="./http_ca.crt",
)

Answer 3

對於自簽名證書，使用：

• Elasticsearch 的官方 Python 客戶端 ( https://pypi.org/project/elasticsearch/ ) 8.7.0
• 共享彈性傳輸庫 ( https://pypi.org/project/elastic-transport/ ) 8.4.0

from elastic_transport import NodeConfig
from elasticsearch import AsyncElasticsearch

client = AsyncElasticsearch(
    hosts=[
        NodeConfig(
            scheme= "https",
            host="<host URL>",
            port=443,
            verify_certs=False,
            ca_certs=None,
            ssl_show_warn=False,
        )
    ],
    http_auth=("username", "password"),
    verify_certs=False,
    ca_certs="/path/to/cafile.pem",  # PEM format
    client_cert="/path/to/tls.cert"  # PEM format
    client_key="/path/to/tls.key"    # PEM format
)
client.info()

解釋：

• CA 文件和 TLS 證書/密鑰對是根據Setup basic security for the Elastic Stack plus secured HTTPS traffic 的指南生成的： https://www.elastic.co/guide/en/elasticsearch/reference/current/安全基本設置-https.html#security-basic-setup-https 。 如評論中所述，您需要正確生成 TLS 證書/密鑰，然后將其傳遞給 Elasticsearch 客戶端庫
• 由於此答案適用於自簽名證書，因此您還需要傳遞您的 CA 文件（PEM 格式）。
• verify_certs=False禁用底層 Python SSL 模塊驗證自簽名證書，但正確地將其向上游發送到服務器。 對於非自簽名證書，您應該嘗試啟用verify_certs=True 。
• 上面的代碼使用的是AsyncElasticsearch ，但是如果你需要 sync Elasticsearch版本，應該直接兼容，因為所有參數都是一樣的。 請參閱： https://elasticsearch-py.readthedocs.io/en/v8.8.1/async.html#getting-started-with-async ）

所以，現在我想知道我是否應該提供 id_rsa.pub 密鑰來代替 path/to/cafile.pem，如果是，那么我需要更改 ~/.ssh 文件夾的權限，這似乎不是一個好主意來自安全視角。

這些 SSH 密鑰很可能與 Elasticsearch 無關，但允許您連接並驗證運行 Elasticsearch 的服務器。