如何保护Elasticsearch

Question

我的服务器上默认运行着Elasticsearch，它运行在端口9200上，链接是公共的，这意味着任何人都可以在任何地方插入，更新，删除任何形式的文件。如何使它像phpMyadmin一样安全，只能在我的代码帮助下访问，而不能直接从浏览器或邮递员访问。

Answer 1

Elasticsearch不执行身份验证或授权，而将其留给开发人员进行。我见过的两种流行方式是

1. 设置您自己的代理（Nginx / HAProxy）前面的Elasticsearch-这样您就可以完全控制自己。您还可以使用Elasticsearch-jetty插件进行码头等级验证
2. 盾-如果预算允许使用盾是从Elasticsearch付费产品- https://www.elastic.co/products/shield

即使有这些设置，也取决于您要向谁公开-您可能希望禁用某些功能，例如动态脚本，DoS调节器等。