security - 保护 Elasticsearch 集群

Question

我想创建一个安全的 Elasticsearch 集群。

关于我的用例。我想要一个 Multi-Tenancy 系统。用户必须对自己的 namespace 具有管理访问权限。经过几次尝试后，我现在只为用户提供他们自己的集群(通过 docker)。

尝试 1: 在具有 Multi-Tenancy 的专用节点上进行屏蔽。这需要我为每个用户修改角色 yml 文件。这既麻烦又痛苦。

尝试 2: Docker 容器 + Shield:经过反复试验，这看起来工作正常，但我不喜欢许可，而且我也不明白它是如何保护TCP 传输。

尝试 3: Docker 容器 + nginx 反向代理和 htpasswd:这对于保护 http 传输非常有效，并且现在与 kibana 配合得很好 basic auth is supported in Kibana .不幸的是，这限制了我的聚类能力，因为 9300 是完全开放的。

尝试 4: 我正准备尝试 docker 容器 + Search Guard:这看起来是一个不错的选择，但我仍然不确定应该如何保护 tcp 传输。

人们实际上如何保护 Multi-Tenancy Elasticsearch 集群？

Answer 1

您走在正确的轨道上。 ES 本质上不是 Multi-Tenancy 的，您真的无法确定您是否已正确保护/命名空间访问。此外，ES 缺少身份验证和 https，因此您也会遇到这些问题。我知道您可以为特权付费，并且您可以采取一些其他技巧来获得它，但实际上，该系统是针对每个客户的，而不是针对 Multi-Tenancy 的。

我还警告不要假设使用 docker 的 Multi-Tenancy 是一个可行的解决方案。同样，docker 安全性还不是一个众所周知/已解决的问题。在内核之上进行虚拟化时存在风险。主要风险是内核是大量代码，而不是公认的硬件虚拟化技术。以在管理程序上运行的亚马逊 ec2 实例为例。管理程序通过硬件实现 VM 之间的大部分边界 - 即，有助于在硬件级别隔离不同 VM 的特殊 CPU 程序。

因为管理程序是一小段代码(与内核相比)，所以更容易审计。由于管理程序使用硬件功能来强制隔离，因此更加安全。

一方面，Docker 实际上在每个进程的基础上增加了安全性(即，如果运行 nginx 的应用程序被黑客攻击并且 docker 设置良好，那么入侵者也将不得不突破 docker 实例)。另一方面，它远不如机器虚拟化。

我的建议是为每个客户创建一个集群 VM，并在每个 VM 集群上运行 ES docker 和其他应用程序 docker。