Akses Kluster Elasticsearch via Cerebro pada Endpoint VPC dan Publik - Elasticsearch

Cerebro adalah alat manajemen open source untuk Elasticsearch yang ringan dan cepat dijalankan. Anda dapat menggunakannya untuk memantau kesehatan kluster, mengelola indeks data, serta menjalankan kueri pencarian. Alat ini umumnya digunakan oleh pengembang dan engineer operasional untuk memeriksa serta mengelola kluster Elasticsearch secara efisien.

Persiapan

Dapatkan titik akhir kluster

Anda dapat menghubungkan ke kluster ES melalui titik akhir pribadi dalam Virtual Private Cloud (VPC) atau melalui titik akhir publik.

Titik akhir pribadi VPC: Akses kluster ES melalui jaringan pribadi untuk latensi rendah dan stabilitas tinggi. Titik akhir ini diaktifkan secara default setelah kluster dibuat.
Titik akhir publik: Akses kluster ES melalui internet. Anda harus mengaktifkan titik akhir ini secara manual.

Aktifkan akses jaringan publik

Masuk ke Konsol ES dan buka halaman Basic Information instans.
Di panel navigasi sebelah kiri, pilih Configuration and Management > Security Settings, lalu aktifkan akses jaringan publik. Saat status kluster berubah dari Initializing menjadi Valid, akses jaringan publik telah diaktifkan.
Penting
Penggunaan titik akhir publik dapat mengurangi keamanan kluster ES Anda. Jika Anda menggunakan titik akhir publik, pastikan untuk mengonfigurasi daftar putih alamat IP dan segera menonaktifkan akses jaringan publik setelah selesai digunakan.

Atur daftar putih alamat IP

Untuk menjaga keamanan kluster, tambahkan alamat IP perangkat yang akan digunakan untuk mengakses kluster ke dalam daftar putih pribadi VPC atau daftar putih akses publik kluster ES. Hanya perangkat dengan alamat IP yang terdaftar dalam daftar putih yang dapat mengakses kluster ES.

Dapatkan alamat IP perangkat.

Tentukan alamat IP perangkat berdasarkan skenario berikut.

Skenario	Alamat IP yang harus didapatkan	Metode
Menghubungkan ke kluster ES dari perangkat on-premises	Alamat IP publik perangkat on-premises. Jika perangkat berada dalam jaringan area lokal (LAN), seperti jaringan rumah atau kantor, tambahkan alamat IP egress publik LAN tersebut ke daftar putih akses publik kluster ES.	Jalankan perintah `curl ipinfo.io/ip` untuk mengetahui alamat IP publik perangkat on-premises.
Menghubungkan ke kluster ES dari Instance ECS di VPC berbeda	Alamat IP publik Instance ECS	Masuk ke ECS console dan lihat di daftar instans.
Menghubungkan ke kluster ES dari Instance ECS di VPC yang sama	Alamat IP pribadi Instance ECS	Masuk ke ECS console dan lihat di daftar instans.

Tambahkan alamat IP yang diperoleh ke grup daftar putih.

Masuk ke Konsol ES, lalu buka halaman Basic Information instans. Di panel navigasi sebelah kiri, pilih Configuration and Management > Security Settings. Klik Modify untuk mengatur daftar putih privat VPC atau daftar putih akses publik di kotak dialog yang muncul.

Klik Configure di sebelah kanan grup default. Pada dialog yang muncul, tambahkan alamat IP ke daftar putih pribadi VPC atau daftar putih akses publik. Anda dapat mengonfigurasi hingga 300 alamat IP atau Blok CIDR untuk satu kluster. Pisahkan beberapa alamat IP atau Blok CIDR dengan koma (,). Jangan tambahkan spasi sebelum atau sesudah koma.

Anda juga dapat mengklik Add IP Whitelist Group untuk membuat grup kustom.
Grup daftar putih hanya digunakan untuk manajemen alamat IP dan tidak memengaruhi izin akses. Semua alamat IP dalam grup memiliki izin yang sama.

Jenis konfigurasi

Format dan contoh

Catatan penting

Format alamat IPv4

Alamat IP tunggal: 192.168.0.1
Blok CIDR: 192.168.0.0/24

Untuk menolak akses: 127.0.0.1
Untuk mengizinkan akses dari semua alamat IP: 0.0.0.0/0
Penting
Konfigurasi ini berisiko tinggi. Kami sangat menyarankan agar Anda tidak mengatur daftar putih menjadi 0.0.0.0/0.
Versi kluster tertentu, seperti 7.16 dan 8.5, serta wilayah tertentu tidak mendukung 0.0.0.0/0. Antarmuka konsol atau pesan error yang berlaku.

Format alamat IPv6

(Hanya didukung oleh kluster yang menggunakan arsitektur deployment v2 dan berada di wilayah China (Hangzhou))

Alamat IP tunggal: 2401:XXXX:1000:24::5
Blok CIDR: 2401:XXXX:1000::/48

Tolak semua akses: ::1
Untuk mengizinkan akses dari semua alamat IP: ::/0
Penting
Kami sangat menyarankan agar Anda tidak mengonfigurasi ::/0 karena menimbulkan risiko keamanan tinggi.
Versi kluster tertentu tidak mendukung ::/0. Antarmuka konsol atau prompt konfigurasi yang berlaku.

Setelah konfigurasi selesai, klik Confirm.

Hubungkan ke kluster

1. Instal dan konfigurasikan Cerebro

Hubungkan ke Instance ECS. Contoh ini menggunakan sistem Linux. Untuk informasi lebih lanjut, lihat Connect to an ECS instance.
Cerebro berjalan di Java Virtual Machine (JVM). Instal JDK pada Instance ECS. Versi JDK harus 1.8 atau lebih baru. Untuk informasi lebih lanjut, lihat Manually deploy OpenJDK.

Unduh dan ekstrak paket instalasi Cerebro.

# Unduh Cerebro v0.9.0
wget https://github.com/lmenezes/cerebro/releases/download/v0.9.0/cerebro-0.9.0.tgz

# Ekstrak paket
tar -zxvf cerebro-0.9.0.tgz

Ubah file konfigurasi Cerebro untuk mengaitkan Cerebro dengan kluster Elasticsearch Anda.

Buka file application.conf.
```
vim cerebro-0.9.0/conf/application.conf
```

Konfigurasikan parameter hosts dan simpan file tersebut.

配置cerebro

Catatan

Anda dapat mengaitkan beberapa instans dengan memisahkannya menggunakan koma.

Parameter	Deskripsi
host	Titik akhir kluster yang Anda peroleh selama persiapan: Titik akhir pribadi VPC: Formatnya adalah `http://<Private endpoint of the Elasticsearch cluster>:9200`. Titik akhir publik: Formatnya adalah `http://<Public endpoint of the Elasticsearch cluster>:9200`. Kluster ES memiliki HTTP yang diaktifkan secara default. Kami menyarankan Anda mengaktifkan dan menggunakan HTTPS untuk memastikan kerahasiaan, keamanan, dan integritas selama transmisi data. Masuk ke ES console untuk membuka Basic Information instans, lalu klik Configuration and Management > Security Settings di panel navigasi sebelah kiri untuk mengaktifkan HTTPS. Penting Sebelum mengaktifkan HTTPS, perbarui kode aplikasi Anda agar mendukung koneksi HTTPS. Jika tidak, kode yang ada yang menggunakan HTTP gagal membuat koneksi aman.
name	ID kluster Elasticsearch Anda. Masuk ke Elasticsearch console. Lihat ID tersebut di daftar kluster.
username	Username default adalah elastic. Pengguna ini memiliki izin penuh atas kluster (seperti akun administrator). Untuk keamanan, jangan gunakan pengguna elastic secara langsung di lingkungan produksi. Gunakan mekanisme Kontrol akses berbasis peran (RBAC) yang disediakan oleh Elasticsearch X-Pack untuk membuat role kustom, menetapkan izin, lalu menetapkan role tersebut kepada pengguna. Hal ini memberikan kontrol izin detail halus. Untuk informasi lebih lanjut, lihat Control user permissions using Elasticsearch X-Pack role management.
password	Password untuk username tersebut.

2. Mulai layanan Cerebro

Mulai Cerebro di foreground atau background, sesuai kebutuhan.

Mulai di foreground (untuk debugging)
```
cd cerebro-0.9.0
bin/cerebro
```
Setelah Cerebro berhasil dimulai, hasil seperti pada gambar berikut akan muncul.
Mulai di background (disarankan untuk lingkungan produksi)
```
cd cerebro-0.9.0
nohup bin/cerebro > cerebro.log 2>&1 &
```
Jalankan tail -f cerebro.log untuk melihat log. Jalankan pkill -f cerebro untuk menghentikan layanan.

3. Akses Cerebro dan hubungkan ke kluster Elasticsearch

Konfigurasikan security group Instance ECS Anda. Di bagian Inbound, tambahkan alamat IP perangkat yang akan diakses dan buka port 9000. Untuk langkah-langkah detail, lihat Add a security group rule.
Di browser, masukkan http://<Alamat IP publik Instance ECS>:9000.
Di halaman login Cerebro, Anda akan melihat kluster ES yang dikonfigurasi dalam file konfigurasi. Anda dapat mengkliknya untuk terhubung.
Setelah berhasil terhubung, lihat status kluster dan kelola indeks di konsol Cerebro. Untuk informasi lebih lanjut tentang cara menggunakan Cerebro, lihat Cerebro.

FAQ dan troubleshooting

Issue 1: Cerebro gagal dimulai

Kemungkinan penyebab: JDK belum diinstal atau versi JDK lebih rendah dari 1.8. Port sedang digunakan. Izin file tidak mencukupi.
Solusi: Jalankan java -version untuk memverifikasi bahwa versi JDK adalah 1.8 atau lebih baru. Ubah port di application.conf dengan mengubah parameter http.port. Tambahkan izin eksekusi ke skrip bin/cerebro dengan menjalankan chmod +x bin/cerebro.

Issue 2: Gagal menghubungkan ke kluster Elasticsearch

Kemungkinan penyebab: Daftar putih alamat IP belum dikonfigurasi. Titik akhir atau port Elasticsearch salah. Security group ECS tidak mengizinkan traffic pada port yang diperlukan. Username atau password salah.
Solusi: Periksa konfigurasi daftar putih alamat IP di konsol Alibaba Cloud Elasticsearch. Verifikasi bahwa file application.conf berisi nilai host yang benar. Periksa apakah security group ECS mengizinkan traffic pada port 9200 (Elasticsearch) dan port 9000 (Cerebro). Verifikasi bahwa username dan password benar.