Подключение к кластеру OpenSearch

1. Настройте все группы безопасности кластера так, чтобы они разрешали входящий трафик из группы безопасности, в которой находится ВМ, на порты 443 (Dashboards) и 9200 (OpenSearch). Для этого создайте в этих группах следующие правила для входящего трафика:

   • Диапазон портов — 443, 9200.
   • Протокол — TCP.
   • Источник — Группа безопасности.
   • Группа безопасности — если кластер и ВМ находятся в одной и той же группе безопасности, выберите значение Текущая (Self). В противном случае укажите группу безопасности ВМ.

   На каждый порт создается отдельное правило.

2. Настройте все группы безопасности, в которых находится ВМ, так, чтобы можно было подключаться к ВМ и был разрешен трафик между ней и хостами кластера.

   Пример правил для ВМ:

   • Для входящего трафика:

     • Диапазон портов — 22, 443, 9200.
     • Протокол — TCP.
     • Источник — CIDR.
     • CIDR блоки — 0.0.0.0/0.

     На каждый порт создается отдельное правило.

   • Для исходящего трафика:

     • Диапазон портов — 0-65535.
     • Протокол — Любой (Any).
     • Назначение — CIDR.
     • CIDR блоки — 0.0.0.0/0.

     Это правило разрешает любой исходящий трафик, что позволяет не только подключаться к кластеру, но и устанавливать на ВМ необходимые для этого сертификаты и утилиты.

mkdir $HOME\.opensearch; curl --output $HOME\.opensearch\root.crt https://storage.yandexcloud.net/cloud-certs/CA.pem

Сертификат будет сохранен в файле $HOME\.opensearch\root.crt.

Корпоративные политики и антивирус могут блокировать скачивание сертификата. Подробнее см. в разделе Вопросы и ответы.

1. Создайте виртуальную машину на основе Linux в той же виртуальной сети, что и кластер.

2. Подключитесь к виртуальной машине по SSH.

3. Установите зависимости:

   sudo apt update && \
   sudo apt install --yes nginx ssl-cert
   

4. Скопируйте загруженный SSL-сертификат в директорию /etc/nginx/:

   sudo cp ~/.opensearch/root.crt /etc/nginx/root.crt
   

5. Измените файл конфигурации по умолчанию для NGINX, например, так:

   /etc/nginx/sites-available/default

   upstream os-dashboards-nodes {
      server <FQDN_хоста_1_с_ролью_DASHBOARDS>:443;
      ...
      server <FQDN_хоста_N_с_ролью_DASHBOARDS>:443;
   }
   
   server {
      listen 443 ssl;
   
      ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
      ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
   
      server_name _;
   
      location / {
   
          proxy_pass https://os-dashboards-nodes;
   
          proxy_ssl_trusted_certificate /etc/nginx/root.crt;
          proxy_ssl_session_reuse on;
      }
   }
   

   Важно

   В этом примере конфигурационного файла используется самоподписанный сертификат snakeoil из пакета ssl-cert. Использовать этот сертификат в реальном кластере небезопасно. Вместо самоподписанного сертификата укажите путь к вашим публичным и приватным ключам SSL-сертификата в директивах ssl_certificate и ssl_certificate_key.

6. Перезапустите NGINX:

   sudo systemctl restart nginx
   

7. Добавьте сертификат, указанный в директиве ssl_certificate, в хранилище доверенных корневых сертификатов браузера (инструкция для Mozilla Firefox).

8. Перейдите в браузере по адресу https://<публичный_IP-адрес_ВМ>.

9. Введите имя пользователя admin и пароль.