I. TẠI SAO LÀ OPENSEARCH SECURITY?
Trong thế giới dữ liệu hiện đại, việc dựng lên một hệ thống lưu trữ là chưa đủ. Bảo mật thông tin ngay từ tầng lõi là yêu cầu tiên quyết. OpenSearch là một công cụ tìm kiếm và phân tích mạnh mẽ, nhưng việc cấu hình Security Plugin TLS, Authentication, RBAC trên Docker thường là "nỗi khiếp sợ" với những người mới bắt đầu vì hàng loạt lỗi về chứng chỉ và quyền hạn.Bài viết này sẽ hướng dẫn bạn cách triển khai trọn bộ OpenSearch & OpenSearch Dashboards phiên bản 2.11.0 trên Docker Compose, đảm bảo đạt trạng thái Green Status và bảo mật đa lớp.
II. THÂN BÀI: TỪNG BƯỚC CHINH PHỤC HỆ THỐNG
Bước 1: Chuẩn bị nền móng cho Hệ điều hành OS
Trước khi chạm vào Docker, máy chủ cần được chuẩn hóa về định danh và thời gian.- Cấu hình Hostname & DNS: Giúp các node nhận diện được nhau.
Lệnh: sudo hostnamectl set-hostname opensearch-server
Sửa file /etc/hosts: Thêm dòng 127.0.0.1 os-node1. - Đồng bộ thời gian (NTP): Rất quan trọng cho hiệu lực của chứng chỉ TLS.
Cài đặt Chrony: sudo apt install chrony -y.
Kiểm tra: chronyc tracking.
Bước 2: Khởi tạo Chứng chỉ TLS Certificates
Chúng ta không dùng chứng chỉ tự ký mặc định của OpenSearch mà tự tạo bộ chứng chỉ riêng Custom CA để đảm bảo an toàn tuyệt đối.Sử dụng OpenSSL để tạo: Root CA, Admin Certificate (dùng để quản trị), và Node Certificate (dùng cho các node giao tiếp).
Các file quan trọng cần có trong thư mục certs/: root-ca.pem, admin.pem, admin-key.pem, node1.pem, node1-key.pem.
Bước 3: Thiết lập Docker Compose
Đây là linh hồn của hệ thống. File docker-compose.yml cần định nghĩa rõ các biến môi trường bảo mật.Điểm lưu ý ở Node: Phải khai báo đường dẫn chứng chỉ trong plugins.security.ssl.*.
Điểm lưu ý ở Dashboards: Phải có đủ OPENSEARCH_USERNAME, OPENSEARCH_PASSWORD và đặc biệt là OPENSEARCH_SSL_CERTIFICATEAUTHORITIES để Dashboards tin tưởng Node.
- Lỗi 401 Unauthorized: OpenSearch đôi khi không nhận mật khẩu phức tạp ở lần đầu. Hãy thử với user/pass mặc định admin:admin.
- Lỗi 403 Forbidden (No permissions): Khi muốn đổi cấu hình hệ thống, bạn không thể dùng user/pass. Hãy dùng Admin Certificate để "ép" hệ thống thực thi lệnh.
- Lỗi SSL (Hostname mismatch): Thêm tham số -k vào lệnh curl để bỏ qua kiểm tra tên miền localhost.
Bước 5: Đưa Cluster về trạng thái "Green"
Mặc định cụm 1 node sẽ báo Yellow do không có node phụ để chứa bản sao (replica).
Giải pháp: Chạy lệnh API để set number_of_replicas: 0.
Sử dụng lệnh:
curl -XPUT <span>"https://localhost:9200/*/_settings"</span> -k --cert certs/admin.pem ... -d <span>'{"index": {"number_of_replicas": 0}}'</span><br>
III. KẾT QUẢ
Sau khi vượt qua những rào cản về cấu hình, sẽ đăng nhập được vào trang dashboard của opensearch:
