Elasticsearch:高セキュリティ

セキュリティの側面

デフォルト機能

セルフマネージド設定

アクセス制御

• クラスターは、データリンク層でのネットワーク分離のために VPC にデプロイされています。

• Elasticsearch と Kibana の両方が IP アドレス許可リストをサポートしており、単一の IP アドレス、IP アドレス範囲、および IPv6 アドレスを含めることができます。デフォルトでは、パブリックエンドポイントはすべての IP アドレスからのアクセスを拒否します。パブリックエンドポイントにアクセスする前に、そのエンドポイント用の IP アドレス許可リストを設定する必要があります。詳細については、「インスタンスのパブリックまたは内部 IP アドレス許可リストの設定」をご参照ください。

• ユーザーは、クラスターノードをホストするサーバーにログオンできません。

• パブリックエンドポイントと内部エンドポイントでは、ポート 9200 と 9300 のみが開いています。

• セキュリティグループや Cloud Firewall などのクラウドセキュリティ製品を使用して、インバウンド IP アドレスを制御および分離します。

• ポート 9200 をインターネットに公開しないようにします。

• 特定のソース IP アドレスにバインドします。

• デフォルトのポートを変更します。

認証と認可

• Resource Access Management (RAM) を通じて、ReadOnlyAccess や FullAccess などのクラスターレベルのアクセスポリシーを提供します。

• インスタンスやアカウントなどのリソース、および GET、POST、PUT などの操作に対して、RAM を通じてきめ細かな権限制御を提供します。

• X-Pack セキュリティプラグインを使用して、フィールドレベルのセキュリティを備えたロールベースのアクセス制御 (RBAC) を提供します。

• X-Pack セキュリティプラグインを使用して、Active Directory、LDAP、またはネイティブ Elasticsearch レルムを通じたシングルサインオン (SSO) をサポートします。

Search Guard や Shield などのサードパーティセキュリティプラグインをインストールします。

暗号化

• HTTPS プロトコルによるアクセスをサポートします。

• Key Management Service (KMS) を使用した保管時の暗号化をサポートします。

• X-Pack セキュリティプラグインを使用して、ノード間の転送中のデータに対する SSL/TLS 暗号化を提供します。

• 保管時の暗号化をサポートするストレージメディアを使用します。

• YML 設定ファイルで HTTP アクセスを無効にします。

監視と監査

• X-Pack セキュリティプラグインを使用して、操作の監査ログを提供します。

• CloudMonitor を使用して、クラスター負荷などの包括的なメトリクスを監視します。

• X-Pack セキュリティプラグインの監査ログ機能を有効にするには、商用 Elastic ライセンス (Platinum または Enterprise レベル) を購入する必要があります。

• Filebeat や Fluentd などのサードパーティツールを使用してクラスターのステータスを監視します。

ディザスタリカバリ

• データバックアップのためのスケジュールされたスナップショットを提供します。

• 同じリージョン内の複数のゾーンにまたがる単一クラスターの高可用性を提供します。

• 定期的なバックアップのためにファイルシステムを購入する必要があります。

• ディザスタリカバリのために複数のクラスターを維持する必要があります。