Elasticsearch:Menghubungkan ke kluster menggunakan Kibana

Prasyarat

Sebelum memulai, pastikan hal-hal berikut:

• Titik akhir publik Kibana diaktifkan secara default. Dapatkan dari halaman konfigurasi Kibana di konsol ES.

• Port tetap pada 443.

• Daftar putih akses publik menolak semua alamat IP secara default. Tambahkan alamat IP perangkat Anda sebelum login.

• Metode autentikasi default adalah otentikasi dua faktor: login ke Akun Alibaba Cloud terlebih dahulu, lalu autentikasi dengan kredensial instans ES Anda (username: elastic dan password yang sesuai).

Tambahkan alamat IP Anda ke daftar putih publik

Alamat IP yang akan dimasukkan ke daftar putih bergantung pada cara Anda mengakses Kibana:

1. Login ke Konsol Elasticsearch Alibaba Cloud dan buka halaman Basic Information instans target.

2. Di panel navigasi kiri, klik Data Visualization. Di area Kibana, klik Modify Configuration.

   

3. Pada bagian Network Access Configuration, temukan Public IP Address Whitelist lalu klik Edit.

   

   

4. Klik Configure di sebelah kanan grup default. Di kotak dialog yang muncul, tambahkan alamat IP yang diizinkan.

   • Untuk menggunakan nama grup kustom, klik Add a new IP whitelist group. Grup hanya digunakan untuk manajemen alamat IP dan tidak memengaruhi izin akses.

   Format alamat IP

   Jenis konfigurasi	Format dan contoh	Catatan
   Alamat IPv4	IP tunggal: 192.168.0.1<br>Blok CIDR: 192.168.0.0/24 (gabungkan IP tersebar menjadi blok CIDR bila memungkinkan)<br>Maksimal 300 entri per kluster; pisahkan beberapa entri dengan koma (tanpa spasi)	Nilai default 127.0.0.1 menolak semua alamat IPv4.<br>0.0.0.0/0 mengizinkan semua alamat IPv4 — risiko keamanan tinggi, tidak disarankan. Beberapa kluster dan wilayah tidak mendukung 0.0.0.0/0; ketersediaannya ditampilkan di konsol atau pesan error.

   

5. Klik OK.

Konfigurasikan metode autentikasi

Metode autentikasi default adalah dua faktor: login ke Akun Alibaba Cloud terlebih dahulu, lalu gunakan kredensial instans ES Anda (username: elastic dan password yang sesuai).

Login ke Kibana

Klik Access over Internet dan masukkan kredensial Anda di halaman login Kibana.

• Username: elastic (tetap)

• Password: Password yang Anda atur saat membuat kluster ES. Untuk mengatur ulang, lihat Atur ulang password.

Untuk membuat peran guna kontrol akses detail halus, gunakan plugin Elasticsearch X-Pack di Kibana.

Prasyarat

Sebelum mengaktifkan akses jaringan pribadi, pastikan hal-hal berikut:

• Spesifikasi node Kibana: 2-core 4 GB atau lebih tinggi. Akses jaringan pribadi tidak dapat diaktifkan pada spesifikasi node yang lebih kecil.

• Teknologi: Alibaba Cloud PrivateLink. Alibaba Cloud ES menanggung biaya titik akhir PrivateLink.

• Titik akhir pribadi nonaktif secara default. Aktifkan dan konfigurasikan titik akhir PrivateLink sebelum login.

• Port tetap pada 5601.

• Metode autentikasi default adalah otentikasi dua faktor: login ke Akun Alibaba Cloud terlebih dahulu, lalu autentikasi dengan kredensial instans ES Anda.

Konfigurasikan titik akhir pribadi

1. Di halaman Network Access Configuration, aktifkan sakelar Private Network Access.

   

2. Konfigurasikan parameter titik akhir:

   Parameter	Deskripsi
   Endpoint name	Dihasilkan otomatis. Dapat dimodifikasi.
   VPC	VPC yang sama dengan instans ES. Periksa halaman Basic Information untuk ID VPC.
   Zone	Periksa halaman Basic Information untuk zona.
   vSwitch	vSwitch yang sama dengan instans ES. Periksa vSwitch ID di halaman Basic Information.
   Security group	Mengontrol akses jaringan pribadi ke Kibana. Pilih security group yang sudah ada atau buat yang baru. Kelola aturan security group di Konsol ECS: rentang port tujuan harus mencakup 5601, dan sumber harus mencakup alamat IP perangkat akses. Saat mengganti security group, jenisnya harus tetap sama (dasar ke dasar; enterprise ke enterprise). Untuk membuat security group dengan cepat: klik Create di bawah bidang Security Group, masukkan nama, dan masukkan alamat IP privat perangkat yang akan diotorisasi.
   Authentication method for private network access	Default: otentikasi dua faktor (Akun Alibaba Cloud + kredensial instans ES). Beralih ke hanya menggunakan kredensial instans ES mengurangi keamanan dan tidak disarankan.

   

3. Klik OK. Konfigurasi dimulai segera. Titik akhir siap digunakan ketika status koneksi menunjukkan Connected.

   

Setelah titik akhir dibuat:

• Hanya nama titik akhir yang dapat dimodifikasi. Untuk mengelola security group, buka Konsol ECS.

• Menonaktifkan Akses Jaringan Pribadi secara otomatis melepaskan sumber daya titik akhir PrivateLink yang terkait. Mengaktifkan kembali fitur ini memerlukan pembuatan sumber daya titik akhir baru. Alamat akses Kibana tetap tidak berubah.

Verifikasi koneksi

Koneksi VNC (instans ECS Windows)

Hubungkan ke instans ECS melalui VNC, buka browser, dan masukkan URL titik akhir Kibana pribadi. Login dengan kredensial Anda.

• Username: elastic (tetap)

• Password: Password yang Anda atur saat membuat kluster ES. Untuk mengatur ulang, lihat Atur ulang password.

Workbench (command line)

Hubungkan ke instans ECS melalui Workbench dan jalankan:

curl.exe -u elastic:<password> -k -I "https://es-cn-xxxxxxxxxxxxxxxxx-kibana.internal.elasticsearch.aliyuncs.com:5601/"

Koneksi yang berhasil mengembalikan:

Prasyarat

Sebelum memulai, pastikan hal-hal berikut:

• Titik akhir publik Kibana diaktifkan secara default. Dapatkan dari halaman konfigurasi Kibana di konsol ES.

• Port tetap pada 5601.

• Daftar putih akses publik menolak semua alamat IP secara default. Tambahkan alamat IP perangkat Anda sebelum login.

• Metode autentikasi adalah kredensial instans ES (username: elastic dan password yang sesuai).

Tambahkan alamat IP Anda ke daftar putih publik

Alamat IP yang akan dimasukkan ke daftar putih bergantung pada cara Anda mengakses Kibana:

1. Login ke Konsol Elasticsearch Alibaba Cloud dan buka halaman Basic Information instans target.

2. Di panel navigasi kiri, klik Data Visualization. Di area Kibana, klik Modify Configuration.

   

3. Di bagian Network Access Configuration, temukan daftar putih alamat IP publik dan klik Modify.

4. Klik Configure di sebelah kanan grup default. Di kotak dialog yang muncul, tambahkan alamat IP yang diizinkan.

   • Untuk menggunakan nama grup kustom, klik Add a new IP whitelist group. Grup hanya digunakan untuk manajemen alamat IP dan tidak memengaruhi izin akses.

   Format alamat IP

   Jenis konfigurasi	Format dan contoh	Catatan
   Alamat IPv4	IP tunggal: 192.168.0.1<br>Blok CIDR: 192.168.0.0/24 (gabungkan IP tersebar menjadi blok CIDR bila memungkinkan)<br>Maksimal 300 entri per kluster; pisahkan beberapa entri dengan koma (tanpa spasi)	Nilai default 127.0.0.1 menolak semua alamat IPv4.<br>0.0.0.0/0 mengizinkan semua alamat IPv4 — risiko keamanan tinggi, tidak disarankan. Beberapa kluster dan wilayah tidak mendukung 0.0.0.0/0; ketersediaannya ditampilkan di konsol atau pesan error.
   Alamat IPv6 (hanya wilayah Hangzhou)	IP tunggal: 2401:XXXX:1000:24::5<br>Blok CIDR: 2401:XXXX:1000::/48<br>Maksimal 300 entri per kluster; pisahkan beberapa entri dengan koma (tanpa spasi)	::1 menolak semua alamat IPv6.<br>::/0 mengizinkan semua alamat IPv6 — risiko keamanan tinggi, tidak disarankan. Beberapa versi kluster tidak mendukung ::/0; ketersediaannya ditampilkan di konsol atau pesan error.

5. Klik OK.

Login ke Kibana

Klik Access over Internet dan masukkan kredensial Anda di halaman login Kibana.

• Username: elastic (tetap)

• Password: Password yang Anda atur saat membuat kluster ES. Untuk mengatur ulang, lihat Atur ulang password.

Untuk membuat peran guna kontrol akses detail halus, gunakan plugin Elasticsearch X-Pack di Kibana.

Prasyarat

Sebelum mengaktifkan akses jaringan pribadi, pastikan hal-hal berikut:

• Spesifikasi node Kibana: 2-core 4 GB atau lebih tinggi. Akses jaringan pribadi tidak dapat diaktifkan pada spesifikasi node yang lebih kecil.

• Titik akhir pribadi nonaktif secara default. Aktifkan dan konfigurasikan daftar putih sebelum login.

• Port tetap pada 5601.

• Daftar putih akses pribadi menolak semua alamat IP secara default.

• Metode autentikasi adalah kredensial instans ES (username: elastic dan password yang sesuai).

Aktifkan akses pribadi dan konfigurasikan daftar putih

Instans ECS yang Anda gunakan untuk mengakses Kibana harus berada di virtual private cloud (VPC) yang sama dengan kluster ES. Tambahkan alamat IP privat instans tersebut ke daftar putih.

1. Di panel navigasi kiri, klik Data Visualization. Di area Kibana, klik Modify Configuration.

2. Di bagian Network Access Configuration, aktifkan sakelar Private Network Access.

3. Temukan Daftar Putih Alamat IP Privat dan klik Modify.

4. Klik Configure di sebelah kanan grup default. Di kotak dialog yang muncul, tambahkan alamat IP privat yang diizinkan.

   • Untuk menggunakan nama grup kustom, klik Add a new IP whitelist group. Grup hanya digunakan untuk manajemen alamat IP dan tidak memengaruhi izin akses.

   Format alamat IP

   Jenis konfigurasi	Format dan contoh	Catatan
   Alamat IPv4	IP tunggal: 192.168.0.1<br>Blok CIDR: 192.168.0.0/24 (gabungkan IP tersebar menjadi blok CIDR bila memungkinkan)<br>Maksimal 300 entri per kluster; pisahkan beberapa entri dengan koma (tanpa spasi)	Nilai default 127.0.0.1 menolak semua alamat IPv4.<br>0.0.0.0/0 mengizinkan semua alamat IPv4 — risiko keamanan tinggi, tidak disarankan. Beberapa kluster dan wilayah tidak mendukung 0.0.0.0/0; ketersediaannya ditampilkan di konsol atau pesan error.

5. Klik OK.

Verifikasi koneksi

Hubungkan ke instans ECS melalui Workbench dan jalankan:

curl.exe -u elastic:<password> -k -I "https://es-xx-xxxxxxxxxxxxxxxxx-kibana.internal.elasticsearch.aliyuncs.com:5601/"

Koneksi yang berhasil mengembalikan:

Kapan menggunakan pendekatan ini

Kibana adalah aplikasi JavaScript — permintaan berasal dari browser pengguna, bukan dari IP server tetap. Jika pengguna mengakses Kibana dari banyak lokasi berbeda, memelihara daftar putih IP per pengguna menjadi tidak praktis. Reverse proxy Nginx mengonsolidasikan seluruh traffic klien melalui satu IP server, sehingga Anda hanya perlu memasukkan satu alamat IP tersebut ke daftar putih.

Prasyarat

Sebelum memulai, pastikan hal-hal berikut:

• Konfigurasikan titik akhir Kibana yang akan dihubungkan oleh proxy:

  • Titik akhir pribadi: Ikuti bagian Login ke Kibana melalui jaringan pribadi (V3). Atur metode autentikasi ke Hanya password akses instans ES.

  • Titik akhir publik: Ikuti bagian Login ke Kibana melalui internet (V3). Atur metode autentikasi ke Hanya password akses instans ES.

• Port akses publik: 443. Port akses pribadi: 5601. Server Nginx mendengarkan pada port 80.

• Tambahkan IP perangkat on-premises dan port 80 ke security group instans ECS yang menjalankan Nginx. Kelola aturan security group di Konsol Security Group ECS. Untuk detail konfigurasi aturan, lihat Ubah aturan security group.

Konfigurasikan Nginx

Perbarui konfigurasi Nginx di server proxy. Parameter utamanya adalah:

• server_name: Nama domain server proxy. Ganti dengan nama domain aktual Anda.

• proxy_pass: Titik akhir backend Kibana (pribadi atau publik) dengan port yang sesuai.

server {
    listen 80;
    # Ganti server_name dengan nama domain aktual server Anda
    server_name _;

    # Header keamanan
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Frame-Options DENY;
    add_header X-Content-Type-Options nosniff;

    location / {
        # Proxy permintaan ke layanan Kibana backend
        proxy_pass https://es-xx-xxxxxxxxxxxxxxxxx-kibana.internal.elasticsearch.aliyuncs.com:5601;

        # Verifikasi sertifikat (gunakan sertifikat valid di lingkungan produksi)
        proxy_ssl_verify off;
        proxy_ssl_server_name on;

        # Pengaturan header
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # Dukungan WebSocket
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_cache_bypass $http_upgrade;

        # Pengaturan timeout
        proxy_connect_timeout 60s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
    }
}