elasticのサブスクリプションを入れる

概要

elasticのサブスクリプションを投入しようとした際に、なんだか引っかかったので、要点をまとめる。

対象

ElasticStack 6.5を想定している。

• elasticsearch 6.5.4
• kibana 6.5.4
• logstash 6.5.4

ライセンスの投入

概要

ライセンスを購入すると、サポートサイトで「ライセンスのjson」をダウンロードできる。これを投入すれば良い。

但し、ElasticStackを入れた直後では、ライセンス投入はできない。X-Pack securityの設定がされていないと、ライセンスを受け付けないようだ。

• 以下の設定をすることが想定されている
  • 全体
    • 30day-trialライセンスが有効になっていること
  • elasticsearch.yml
    • セキュリティが有効になっている
    • built-in usersのパスワードを設定する
    • TLSを利用する設定になっている
  • kibana.yml
    • kibanaユーザのパスワード変更をしている(built-in usersのパスワード変更があるため)

「30日間のトライアルライセンス」を有効にしないと、GOLD等のサブスクリプションは入れられない。

• 「サブスクリプション入れて設定を有効にする」思想ではなく、「設定した各種追加機能の"有効期間を拡張する"」という思想なのかも。

設定

トライアルの有効化

• Kibanaで[Management][License]を選択し、"Start a 30-day trial"を有効にする

セキュリティ設定の有効化

セキュリティの有効化

• elasticsearchの停止
  • # systemctl stop elasticsearch
• elasticsearch.ymlの編集
  • xpack.security.enabled: true を追加
• elasticsearchの起動
  • # systemctl restart elasticsearch でサービス再起動し、反映

ここで、起動後しばらくしてelasticsearchが落ちるようなら、以下を確認する。

• 今まで、きちんとelasticsearchは動いてた？
  • 動いてないなら、それは動かないよね
• trial licenseを有効にしていない
  • 有効にしないと xpack.security.enabled: ture できない
• xpack.security.enabled: true のtypo
  • あるんだな、これが。

built-in usersパスワード変更

パスワードの変更

前述 xpack.security.enabled を有効にすると、パスワード変更できるようになる。

• elasticsearchが起動していること
  • # systemctl status elasticsearch などで確認
• 対話的に、built-in usersのパスワード変更する
  • /usr/share/elasticsearch/bin/elasticsearch-setup-password interactive
  • 複数のbuilt-in userのパスワードを変更する
    • elastic, apm_system, kibana, logstash_system, beat_system, remote_monitoring_user のパスワードを変更する。

Kibanaの設定変更

Kibanaが使うbuild-in user "kibana" を指定する

• kibana.ymlの変更
  • elasticsearch.username: "kibana"
  • elasticsearch.password: "先程のパスワード"

直接設定ファイルにアカウントを書きたくない場合は、kibana-keystoreを使う

• # /usr/share/kibana/bin/kibana-keystore create
• # /usr/share/kibana/bin/kibana-keystore add elasticsearch.username
• # /usr/share/kibana/bin/kibana-keystore add elasticsearch.password

TLSの有効化

Node Certificatesの作成

• CAを作る
  • # /usr/share/elasticsearch/bin/elasticsearch-certutil ca
  • デフォルトで elastic-stack-ca.p12 が作られる
• 証明書と秘密鍵を作る
  • # /usr/share/elasticsearch/bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12
  • デフォルトで elastic-certificates.p12 が作られる
• elasticsearchの場所に置く
  • /etc/elasticsearch/cert/ などに elastic-certificates.p12 ファイルを配置する

設定の有効化

elasticsearchに設定を追加する

elasticsearch.yml

xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: certs/elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: certs/elastic-certificates.p12

elasticsearchの再起動をする

• 再起動後しばらくして落ちる場合は、設定が間違っている
  • /var/log/elasticsearch/*.log を見る
  • 追加したコンフィグで typo がないかを確認する

サブスクリプションの投入

ここまでくれば、Kibanaからライセンス更新ができる。

• [Management][Elasticsearch][License Management]の "Update your license" に、サポートサイトからダウンロードした json を投入する。

まとめ

• trialライセンスを有効にして、securityの設定をした後で、ライセンスを入れる
  • ライセンス入れてから設定しよう、は、できない
• typoひどいよtypo!
  • elasticsearch.ymlに書く内容をtypoしないように。

以上。