如何使用HTTPS连接“Spring boot application(2.3.4.Release）”和elasticsearch 7.9.2

Question

xpack.security.transport.ssl.enabled：true

xpack.security.transport.ssl.verification_mode:证书

xpack.security.transport.ssl.keystore.path：ellastic-certificates.p12

xpack.security.http.ssl.client_authentication:可选

xpack.security.authc.realms.pki.pki1.order：1

我已经生成了CA和客户端证书，由生成的CA根据此链接签名

private static final Logger LOG = LoggerFactory.getLogger(RestClientConfig.class);

private static final String CERT_FILE = "client.p12";
private static final String CERT_PASSWORD = "";
private static final String USER_NAME = "elastic";
private static final String USER_PASS = "pwd";

@Override
@Bean
public RestHighLevelClient elasticsearchClient() {

    final ClientConfiguration clientConfiguration = ClientConfiguration.builder()
            .connectedTo("localhost:9200")  // set the address of the Elasticsearch cluster
            .usingSsl(createSSLContext())  // use the SSLContext with the client cert
            .withBasicAuth(USER_NAME, USER_PASS)   // use the headers for authentication
            .build();
    return RestClients.create(clientConfiguration).rest();
}

private SSLContext createSSLContext() {
    try {
        SSLContext sslContext = SSLContext.getInstance("TLS");
        KeyManager[] keyManagers = getKeyManagers();
        sslContext.init(keyManagers, null, null);
        return sslContext;
    } catch (Exception e) {
        LOG.error("cannot create SSLContext", e);
    }
    return null;
}

private KeyManager[] getKeyManagers()
        throws KeyStoreException, NoSuchAlgorithmException, IOException, CertificateException, UnrecoverableKeyException {
    try (InputStream inputStream = getClass().getClassLoader().getResourceAsStream(CERT_FILE)) {
        KeyStore clientKeyStore = KeyStore.getInstance("PKCS12");
        clientKeyStore.load(inputStream, CERT_PASSWORD.toCharArray());
        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(clientKeyStore, CERT_PASSWORD.toCharArray());
        return kmf.getKeyManagers();
    }
}

我的客户端证书“client.p12”包含在spring-boot应用程序的resources文件夹中。在elasticsearch方面，一切似乎都很好。但是当我运行spring-boot应用程序时，它会发出警告&异常

无法创建索引：主机名“LocalHost”与对等方提供的证书主题不匹配(CN=Instance）；嵌套异常是java.lang.runtimeException：主机名“localhost”与对等方提供的证书主题不匹配(CN=instance）

java.io.ioException：主机名“localhost”与对等方提供的证书主题不匹配(CN=instance）

bin/elasticsearch-certutil cert--ca
config/elastic-stack-ca.p12
-name“cn=something,ou=consulting Team,dc=mydomain,dc=com”ENTER client.p12 ENTER ENTER

在internet上搜索此错误时，我发现我的客户端证书有问题。它与具有弹性节点的SAN名称有关。但我对这些证书的东西知之甚少。所以对我来说真的很困惑。如果有人能给我详细的解释为什么会发生这种情况和解决办法，我真的很感激。一个适当的链接也会有帮助。这个问题已经在如何将“Spring Boot2.1 with elasticsearch 6.6”与集群节点“https”连接起来？但我运气不好。

Answer 1

您的问题与另一个问题类似，请参见此处: 的证书与任何主题替代名称都不匹配

因此，我假设，如果将SAN扩展localhost作为DNS添加到elasticsearch证书中，并将localhost的ip地址添加到elasticsearch证书中，它应该可以工作。因此添加以下附加参数:--DNS localhost--IP 127.0。0.1。你能试一下下面的命令并在这里分享你的结果吗？

bin/elasticsearch-certutil cert --ca config/elastic-stack-ca.p12 -name "CN=something,OU=Consulting Team,DC=mydomain,DC=com" --dns localhost --ip 127.0. 0.1

您已经将Elasticsearch配置为可选地请求客户端证书，但未标记为必需，请参见:xpack.security.http.ssl.client_authentication:optional。因此，它不是必需的，因此，创建KeyManager并从中构造sslcontext是没有意义的。但我认为您需要导出Elasticsearch证书的公共证书，并通过将其转换为TrustManager并从中创建sslcontext将其提供给http客户机。我这里有一个工作示例：ElasticSearch RestHighLevelClient SSL示例。