Elasticsearch:Kibana を使用したクラスターへの接続

前提条件

開始する前に、以下の点を確認してください。

• Kibana のパブリックエンドポイントはデフォルトで有効化されています。ES コンソール内の Kibana 構成ページから取得できます。

• ポートは固定で 443 です。

• パブリックアクセスホワイトリストはデフォルトですべての IP アドレスを拒否します。ログイン前に、ご利用のデバイスの IP アドレスを追加してください。

• デフォルトの認証方式は 二要素認証 です：まず Alibaba Cloud アカウントにログインし、その後、ES インスタンスの認証情報（ユーザー名：elastic、および対応するパスワード）で認証を行います。

パブリックホワイトリストへの IP アドレスの追加

ホワイトリストに登録する IP アドレスは、Kibana へのアクセス方法によって異なります。

1. Alibaba Cloud Elasticsearch コンソール にログインし、ターゲットインスタンスの 基本情報 ページに移動します。

2. 左側のナビゲーションウィンドウで データ可視化 をクリックします。Kibana エリアで 構成の変更 をクリックします。

   

3. ネットワークアクセス構成 セクションで、パブリック IP アドレスホワイトリスト を見つけ、編集 をクリックします。

   

   

4. デフォルトグループの右側にある 構成 をクリックします。表示されるダイアログボックスで、許可する IP アドレスを追加します。

   • カスタムグループ名を使用する場合は、新しい IP ホワイトリストグループの追加 をクリックします。グループは IP アドレス管理専用であり、アクセス権限には影響しません。

   IP アドレスの形式

   構成タイプ	形式と例	備考
   IPv4 アドレス	単一 IP：192.168.0.1<br>CIDR ブロック：192.168.0.0/24（可能な限り散在する IP を CIDR ブロックに統合）<br>クラスターあたり最大 300 エントリ。複数のエントリはカンマで区切り（スペースなし）	デフォルト値 127.0.0.1 はすべての IPv4 アドレスを拒否します。<br>0.0.0.0/0 はすべての IPv4 アドレスを許可しますが、セキュリティリスクが非常に高いため推奨されません。一部のクラスターおよびリージョンでは 0.0.0.0/0 がサポートされておらず、コンソールまたはエラーメッセージに可用性が表示されます。

   

5. OK をクリックします。

認証方式の構成

デフォルトの認証方式は二要素認証です：まず Alibaba Cloud アカウントにログインし、その後、ES インスタンスの認証情報（ユーザー名：elastic、および対応するパスワード）で認証を行います。

Kibana へのログイン

インターネット経由のアクセス をクリックし、Kibana のログインページで認証情報を入力します。

• ユーザー名：elastic（固定）

• パスワード: ES クラスターを作成する際に設定したパスワードです。リセットするには、「パスワードのリセット」をご参照ください。

きめ細かなアクセス制御のためのロールを作成するには、Kibana 内の Elasticsearch X-Pack プラグインを使用します。

前提条件

プライベートネットワークアクセスを有効化する前に、以下の点を確認してください。

• Kibana ノードスペック：2 コア 4 GB 以上。それより小さいノードスペックでは、プライベートネットワークアクセスを有効化できません。

• 技術：Alibaba Cloud PrivateLink。Alibaba Cloud ES が PrivateLink エンドポイントのコストを負担します。

• プライベートエンドポイントは デフォルトで無効化 されています。ログイン前に、これを有効化し、PrivateLink エンドポイントを構成してください。

• ポートは固定で 5601 です。

• デフォルトの認証方式は 二要素認証 です：まず Alibaba Cloud アカウントにログインし、その後、ES インスタンスの認証情報で認証を行います。

プライベートエンドポイントの構成

1. ネットワークアクセス構成 ページで、プライベートネットワークアクセス スイッチをオンにします。

   

2. エンドポイントのパラメーターを構成します。

   パラメーター	説明
   エンドポイント名	自動生成されます。変更可能です。
   VPC	ES インスタンスと同じ VPC を選択します。基本情報 ページで VPC ID を確認してください。
   ゾーン	基本情報 ページでゾーンを確認してください。
   vSwitch	ES インスタンスと同じ vSwitch を選択します。vSwitch ID は 基本情報 ページで確認できます。
   セキュリティグループ	Kibana へのプライベートネットワークアクセスを制御します。既存のセキュリティグループを選択するか、新しいものを作成します。セキュリティグループルールはECS コンソールで管理します。宛先ポート範囲には5601を含める必要があり、ソースにはアクセスデバイスの IP アドレスを含める必要があります。セキュリティグループを変更する場合、タイプは同じでなければなりません（基本から基本、エンタープライズからエンタープライズ）。セキュリティグループを迅速に作成するには、[セキュリティグループ]フィールドの下にある[作成]をクリックし、名前を入力して、承認するデバイスのプライベート IP アドレスを入力します。
   プライベートネットワークアクセスの認証方式	デフォルト：二要素認証（Alibaba Cloud アカウント ＋ ES インスタンスの認証情報）。ES インスタンスの認証情報のみに切り替えるとセキュリティが低下するため、推奨されません。

   

3. OK をクリックします。構成は直ちに開始されます。エンドポイントの接続ステータスが 接続済み になった時点で、利用可能になります。

   

エンドポイントが作成された後:

• エンドポイント名のみ変更可能です。セキュリティグループの管理は ECS コンソール で行ってください。

• プライベートネットワークアクセス をオフにすると、関連付けられた PrivateLink エンドポイントのリソースが自動的に解放されます。再度有効化するには、新しいエンドポイントリソースを作成する必要があります。Kibana のアクセスアドレスは変更されません。

接続の確認

VNC 接続（Windows ECS インスタンス）

ECS インスタンスに VNC 接続し、ブラウザを開いてプライベート Kibana エンドポイントの URL を入力します。その後、認証情報を入力してログインします。

• ユーザー名：elastic（固定）

• パスワード: ES クラスターを作成したときに設定したパスワードです。リセットするには、「パスワードのリセット」をご参照ください。

ワークベンチ（コマンドライン）

ワークベンチ経由で ECS インスタンスに接続し、以下のコマンドを実行します。

curl.exe -u elastic:<password> -k -I "https://es-cn-xxxxxxxxxxxxxxxxx-kibana.internal.elasticsearch.aliyuncs.com:5601/"

正常な接続の場合、以下のようなレスポンスが返されます。

前提条件

開始する前に、以下の点を確認してください。

• Kibana のパブリックエンドポイントはデフォルトで有効化されています。ES コンソール内の Kibana 構成ページから取得できます。

• ポートは固定で 5601 です。

• パブリックアクセスホワイトリストはデフォルトですべての IP アドレスを拒否します。ログイン前に、ご利用のデバイスの IP アドレスを追加してください。

• 認証方式は ES インスタンスの認証情報（ユーザー名：elastic、および対応するパスワード）です。

パブリックホワイトリストへの IP アドレスの追加

ホワイトリストに登録する IP アドレスは、Kibana へのアクセス方法によって異なります。

1. Alibaba Cloud Elasticsearch コンソール にログインし、ターゲットインスタンスの 基本情報 ページに移動します。

2. 左側のナビゲーションウィンドウで データ可視化 をクリックします。Kibana エリアで 構成の変更 をクリックします。

   

3. ネットワークアクセス構成 セクションで、パブリック IP アドレスホワイトリストを見つけ、変更 をクリックします。

4. デフォルトグループの右側にある 構成 をクリックします。表示されるダイアログボックスで、許可する IP アドレスを追加します。

   • カスタムグループ名を使用する場合は、新しい IP ホワイトリストグループの追加 をクリックします。グループは IP アドレス管理専用であり、アクセス権限には影響しません。

   IP アドレスの形式

   構成タイプ	形式と例	備考
   IPv4 アドレス	単一 IP：192.168.0.1<br>CIDR ブロック：192.168.0.0/24（可能な限り散在する IP を CIDR ブロックに統合）<br>クラスターあたり最大 300 エントリ。複数のエントリはカンマで区切り（スペースなし）	デフォルト値 127.0.0.1 はすべての IPv4 アドレスを拒否します。<br>0.0.0.0/0 はすべての IPv4 アドレスを許可しますが、セキュリティリスクが非常に高いため推奨されません。一部のクラスターおよびリージョンでは 0.0.0.0/0 がサポートされておらず、コンソールまたはエラーメッセージに可用性が表示されます。
   IPv6 アドレス（杭州リージョンのみ）	単一 IP：2401:XXXX:1000:24::5<br>CIDR ブロック：2401:XXXX:1000::/48<br>クラスターあたり最大 300 エントリ。複数のエントリはカンマで区切り（スペースなし）	::1 はすべての IPv6 アドレスを拒否します。<br>::/0 はすべての IPv6 アドレスを許可しますが、セキュリティリスクが非常に高いため推奨されません。一部のクラスターバージョンでは ::/0 がサポートされておらず、コンソールまたはエラーメッセージに可用性が表示されます。

5. OK をクリックします。

Kibana へのログイン

インターネット経由のアクセス をクリックし、Kibana のログインページで認証情報を入力します。

• ユーザー名：elastic（固定）

• パスワード: ES クラスターを作成する際に設定したパスワードです。リセットするには、「パスワードのリセット」をご参照ください。

きめ細かなアクセス制御のためのロールを作成するには、Kibana 内の Elasticsearch X-Pack プラグインを使用します。

前提条件

プライベートネットワークアクセスを有効化する前に、以下の点を確認してください。

• Kibana ノードスペック：2 コア 4 GB 以上。それより小さいノードスペックでは、プライベートネットワークアクセスを有効化できません。

• プライベートエンドポイントは デフォルトで無効化 されています。ログイン前に、これを有効化し、ホワイトリストを構成してください。

• ポートは固定で 5601 です。

• プライベートアクセスホワイトリストはデフォルトですべての IP アドレスを拒否します。

• 認証方式は ES インスタンスの認証情報（ユーザー名：elastic、および対応するパスワード）です。

プライベートアクセスの有効化とホワイトリストの構成

Kibana にアクセスするために使用する ECS インスタンスは、ES クラスターと同じ仮想プライベートクラウド（VPC）内にある必要があります。このインスタンスのプライベート IP アドレスをホワイトリストに追加します。

1. 左側のナビゲーションウィンドウで データ可視化 をクリックします。Kibana エリアで 構成の変更 をクリックします。

2. ネットワークアクセス構成 セクションで、プライベートネットワークアクセス スイッチをオンにします。

3. プライベート IP アドレスホワイトリスト を見つけ、変更 をクリックします。

4. デフォルトグループの右側にある 構成 をクリックします。表示されるダイアログボックスで、許可するプライベート IP アドレスを追加します。

   • カスタムグループ名を使用する場合は、新しい IP ホワイトリストグループの追加 をクリックします。グループは IP アドレス管理専用であり、アクセス権限には影響しません。

   IP アドレスの形式

   構成タイプ	形式と例	備考
   IPv4 アドレス	単一 IP：192.168.0.1<br>CIDR ブロック：192.168.0.0/24（可能な限り散在する IP を CIDR ブロックに統合）<br>クラスターあたり最大 300 エントリ。複数のエントリはカンマで区切り（スペースなし）	デフォルト値 127.0.0.1 はすべての IPv4 アドレスを拒否します。<br>0.0.0.0/0 はすべての IPv4 アドレスを許可しますが、セキュリティリスクが非常に高いため推奨されません。一部のクラスターおよびリージョンでは 0.0.0.0/0 がサポートされておらず、コンソールまたはエラーメッセージに可用性が表示されます。

5. OK をクリックします。

接続の確認

ワークベンチ経由で ECS インスタンスに接続し、以下のコマンドを実行します。

curl.exe -u elastic:<password> -k -I "https://es-xx-xxxxxxxxxxxxxxxxx-kibana.internal.elasticsearch.aliyuncs.com:5601/"

正常な接続の場合、以下のようなレスポンスが返されます。

この手法を利用するタイミング

Kibana は JavaScript アプリケーションであり、リクエストは固定されたサーバー IP ではなく、ユーザーのブラウザから発生します。ユーザーが多数の異なる場所から Kibana にアクセスする場合、ユーザーごとの IP ホワイトリストを維持するのは現実的ではありません。Nginx リバースプロキシ を使用すると、すべてのクライアントトラフィックを単一のサーバー IP に集約できるため、その 1 つの IP アドレスのみをホワイトリストに登録すれば済みます。

前提条件

開始する前に、以下の点を確認してください。

• プロキシが接続する Kibana エンドポイントを構成します。

  • プライベートエンドポイント：「プライベートネットワーク経由で Kibana にログインする (V3)」セクションに従って構成します。認証方式を ES インスタンスのアクセスパスワードのみ に設定します。

  • パブリックエンドポイント：「インターネット経由で Kibana にログインする (V3)」セクションに従って構成します。認証方式を ES インスタンスのアクセスパスワードのみ に設定します。

• パブリックアクセスポート：443、プライベートアクセスポート：5601。Nginx サーバーはポート 80 をリッスンします。

• Nginx を実行する ECS インスタンスのセキュリティグループに、オンプレミスデバイスの IP アドレスとポート 80 を追加します。セキュリティグループルールの管理は ECS セキュリティグループコンソール で行います。ルールの構成詳細については、「セキュリティグループルールの変更」をご参照ください。

Nginx の構成

プロキシサーバー上の Nginx 構成を更新します。主なパラメーターは以下のとおりです。

• server_name：プロキシサーバーのドメイン名。実際のドメイン名に置き換えてください。

• proxy_pass：バックエンドの Kibana エンドポイント（プライベートまたはパブリック）および対応するポート。

server {
    listen 80;
    # server_name を実際のサーバーのドメイン名に置き換えます
    server_name _;

    # セキュリティヘッダー
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Frame-Options DENY;
    add_header X-Content-Type-Options nosniff;

    location / {
        # バックエンドの Kibana サービスへのリクエストをプロキシ
        proxy_pass https://es-xx-xxxxxxxxxxxxxxxxx-kibana.internal.elasticsearch.aliyuncs.com:5601;

        # 証明書検証（本番環境では有効な証明書を使用）
        proxy_ssl_verify off;
        proxy_ssl_server_name on;

        # ヘッダー設定
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # WebSocket サポート
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_cache_bypass $http_upgrade;

        # タイムアウト設定
        proxy_connect_timeout 60s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
    }
}