xtermi2/elasticsearch-searchguard

Elasticsearch Docker镜像（集成Search Guard和Prometheus导出器）

镜像概述和主要用途

本Docker镜像扩展自官方Elasticsearch镜像，集成了Search Guard安全插件和https://github.com/vvanholl/elasticsearch-prometheus-exporter%E7%9B%91%E6%8E%A7%E6%8F%92%E4%BB%B6%E3%80%82%E6%8F%90%E4%BE%9B%E9%BB%98%E8%AE%A4%E7%94%A8%E6%88%B7%E9%85%8D%E7%BD%AE%E3%80%81%E8%AF%81%E4%B9%A6%E6%94%AF%E6%8C%81%E5%8F%8A%E5%8F%AF%E5%AE%9A%E5%88%B6%E5%8C%96%E5%AE%89%E5%85%A8%E7%AD%96%E7%95%A5%EF%BC%8C%E9%80%82%E7%94%A8%E4%BA%8E%E9%9C%80%E8%A6%81%E5%AE%89%E5%85%A8%E8%AE%BF%E9%97%AE%E6%8E%A7%E5%88%B6%E5%92%8C%E6%8C%87%E6%A0%87%E7%9B%91%E6%8E%A7%E7%9A%84Elasticsearch%E9%83%A8%E7%BD%B2%E5%9C%BA%E6%99%AF%E3%80%82%E9%95%9C%E5%83%8F%E6%89%98%E7%AE%A1%E4%BA%8EDocker Hub：https://hub.docker.com/r/xtermi2/elasticsearch-searchguard%E3%80%82

核心功能和特性

• 安全增强：集成Search Guard插件，提供用户认证、授权、TLS加密等安全功能
• 监控支持：集成Prometheus导出器插件，支持将Elasticsearch指标导出至Prometheus
• 默认用户：预配置3个默认用户（elastic：管理员；kibana：Kibana专用；beats：Beats专用）
• 可定制配置：支持通过挂载自定义配置覆盖默认Search Guard用户策略
• 证书管理：需挂载CA证书、节点证书及管理员证书以启用TLS加密

使用场景和适用范围

• 生产环境中需要安全访问控制的Elasticsearch集群
• 需对Elasticsearch性能指标进行监控的场景（与Prometheus+Grafana集成）
• 与Kibana、Beats等组件构建完整Elastic Stack的环境
• 多节点Elasticsearch集群部署（提供节点间TLS加密通信）

详细使用方法和配置说明

文件描述符和MMap配置

Elasticsearch默认使用mmapfs目录存储索引，操作系统默认的mmap计数限制可能过低，可能导致内存溢出异常。需在主机执行以下命令：

bash
sudo sysctl -w vm.max_map_count=262144

永久设置需修改/etc/sysctl.conf中的vm.max_map_count参数。

环境变量配置

TLS配置

需在Elasticsearch配置中设置Search Guard相关TLS参数（路径相对于/usr/share/elasticsearch/config/）：

• xpack.security.enabled: "false"：必须禁用X-Pack Security（与Search Guard冲突）
• searchguard.ssl.transport.pemcert_filepath：节点证书路径（例：certificates/node.pem）
• searchguard.ssl.transport.pemkey_filepath：节点私钥路径（例：certificates/node.key）
• searchguard.ssl.transport.pemkey_password：节点私钥密码（例：default-secret）
• searchguard.ssl.transport.pemtrustedcas_filepath：CA证书路径（例：certificates/root-ca.pem）
• searchguard.ssl.transport.enforce_hostname_verification：是否验证证书主机名（例：false）
• searchguard.ssl.transport.resolve_hostname：是否解析证书主机名（例：false）
• searchguard.ssl.http.enabled：是否为REST API启用TLS（例：true）
• searchguard.ssl.http.pemcert_filepath：节点证书路径（例：certificates/node.pem）
• searchguard.ssl.http.pemkey_filepath：节点私钥路径（例：certificates/node.key）
• searchguard.ssl.http.pemkey_password：节点私钥密码（例：default-secret）
• searchguard.ssl.http.pemtrustedcas_filepath：CA证书路径（例：certificates/root-ca.pem）

自定义配置

部分Search Guard配置（列表类型）需通过自定义elasticsearch.yml设置，需挂载至容器/usr/share/elasticsearch/config/elasticsearch.yml路径。示例配置：

yaml
searchguard:
  nodes_dn:
    - CN=node.es.local,OU=Ops,O=test,DC=es,DC=local
  authcz.admin_dn:
    - CN=admin.es.local,OU=Ops,O=test,DC=es,DC=local

部署示例

Docker Run命令

bash
docker run -d \
  --name elasticsearch \
  -p 9200:9200 \
  -p 9300:9300 \
  -e "discovery.type=single-node" \
  -e "ELASTIC_PWD=my-elastic-password" \
  -e "KIBANA_PWD=my-kibana-password" \
  -e "BEATS_PWD=my-beats-password" \
  -v /host/path/to/certificates:/usr/share/elasticsearch/config/certificates \
  -v /host/path/to/elasticsearch.yml:/usr/share/elasticsearch/config/elasticsearch.yml \
  -v /host/path/to/sg_config:/usr/share/elasticsearch/sg_config \
  xtermi2/elasticsearch-searchguard

完整集群示例

包含2个Elasticsearch节点、Kibana、Prometheus和Grafana的完整部署示例，参见https://github.com/xtermi2/elasticsearch-searchguard/tree/master/example%E3%80%82

用户反馈

问题反馈

如遇到使用问题或有疑问，请通过https://github.com/xtermi2/elasticsearch-searchguard/issues%E6%8F%90%E4%BA%A4%E5%8F%8D%E9%A6%88%E3%80%82