Облачная платформаAdvanced

Настройка выделенного балансировщика нагрузки

Эта статья полезна?

Язык статьи: Русский

Страница переведена автоматически и может содержать неточности. Рекомендуем сверяться с английской версией.

В сценариях обработки больших данных балансировщики нагрузки необходимы для распределения трафика и повышения доступности и производительности кластеров OpenSearch. Однако стандартные общие балансировщики нагрузки имеют функциональные и производительные ограничения, что делает их недостаточными для сложной обработки данных с высокой конкуренцией. Выделенные балансировщики нагрузки, обладающие более широкими возможностями и лучшей производительностью, предоставляют более надёжное решение. В этом разделе описывается, как настроить выделенные балансировщики нагрузки для более эффективного и безопасного доступа к кластеру.

Обзор

Преимущества подключения к кластеру через выделенный балансировщик нагрузки:

Кластер без режима безопасности также может использовать возможности сервиса Elastic Load Balance (ELB).

Можно использовать пользовательские сертификаты для двунаправленной аутентификации HTTPS.

Поддерживается мониторинг трафика на семи уровнях и настройка сигнализации, что позволяет внимательно отслеживать состояние кластера.

Существует восемь различных форм сервиса ELB для кластеров в разных режимах безопасности, позволяющих подключаться к выделенному балансировщику нагрузки. Table 1 описывает возможности ELB для различных конфигураций кластера. Table 2 описывает конфигурации для разных форм сервиса ELB.

Table 1 возможности ELB для разных кластеров
Режим безопасности	Форма сервиса, предоставляемая ELB для внешних систем	ELB Load Balancing	ELB Traffic Monitoring	ELB Two-way Authentication
Режим без безопасности	Без аутентификации	Поддерживается	Поддерживается	Не поддерживается
Режим без безопасности	Односторонняя аутентификация Двусторонняя аутентификация	Поддерживается	Поддерживается	Поддерживается
Security mode + HTTP	Password authentication	Поддерживается	Поддерживается	Не поддерживается
Security mode + HTTP	One-way authentication + Password authentication Двусторонняя аутентификация + аутентификация паролем	Поддерживается	Поддерживается	Поддерживается
Режим безопасности + HTTPS	Односторонняя аутентификация + аутентификация паролем Двусторонняя аутентификация + аутентификация паролем	Поддерживается	Поддерживается	Поддерживается

Table 2 Конфигурации для разных форм сервиса ELB в зависимости от кластера
Security Mode	Service Form Provided by ELB for External Systems	ELB Listener	ELB Listener	ELB Listener	Backend Server Group	Backend Server Group	Backend Server Group
Security Mode	Service Form Provided by ELB for External Systems	Frontend Protocol	Frontend Port	SSL Authentication	Backend Protocol	Health Check Port	Health Check Path
Non-security mode	No authentication	HTTP	9200	No authentication	HTTP	9200	/
	One-way authentication	HTTPS	9200	One-way authentication	HTTP	9200
	Two-way authentication	HTTPS	9200	Two-way authentication	HTTP	9200
Security mode + HTTP	Password authentication	HTTP	9200	No authentication	HTTP	9200	/_opendistro/_security/health
	One-way authentication + Password authentication	HTTPS	9200	односторонняя аутентификация	HTTP	9200
	двусторонняя аутентификация + аутентификация по паролю	HTTPS	9200	двусторонняя аутентификация	HTTP	9200
режим безопасности + HTTPS	односторонняя аутентификация + аутентификация по паролю	HTTPS	9200	односторонняя аутентификация	HTTPS	9200
режим безопасности + HTTPS	двусторонняя аутентификация + аутентификация по паролю	HTTPS	9200	двусторонняя аутентификация	HTTPS	9200

Ограничения

Не рекомендуется подключать load balancer, связанный с public IP address, к non-security mode cluster. Предоставление доступа из public network через такой load balancer может вызвать риски безопасности, поскольку non-security mode cluster может быть доступен по HTTP без аутентификации безопасности.

Кластеры security-mode с включённым HTTPS не поддерживают аутентификацию frontend на основе HTTP. Если frontend использует HTTP, сначала отключите security mode для вашего кластера. Для получения подробной информации см. Changing the Security Mode. Перед изменением security mode сначала отключите load balancing. После изменения security mode снова включите load balancing.

Предварительные условия

Создан выделенный load balancer. Для получения подробной информации см. . Этот load balancer должен соответствовать следующим требованиям:

Её VPC совпадает с VPC кластера CSS. Сеть между ними подключена.

IP as a Backend включён. Это необходимо для подключения выделенного load balancer к кластеру CSS.

Определите, необходимо ли настраивать EIP в зависимости от потребностей сервиса. public IP address отображается для load balancer, подключающего кластер CSS, только если настроен EIP. Это позволит обеспечить доступ из public network к кластеру через данный load balancer.

Если слушатель ELB использует HTTPS, загрузите серверный сертификат или сертификат CA в консоль ELB. Для получения подробной информации см. .

Если используется однонаправленная аутентификация, загрузите серверный сертификат.

Если используется двунаправленная аутентификация, загрузите серверный сертификат и сертификат CA.

Подключение кластера к load balancer

Войдите в консоль управления CSS.

В панели навигации слева выберите Clusters > OpenSearch.

В списке кластеров нажмите имя целевого кластера. Отобразится страница информации о кластере.

Нажмите вкладку Cluster Access, затем нажмите вкладку Load Balancing. На вкладке OpenSearch включите переключатель Load Balancing. В открывшемся диалоговом окне задайте параметры.

Table 3 Настройка балансировки нагрузки
Parameter	Description
Load Balancer	Выберите выделенный load balancer, который вы создали ранее. Чтобы создать выделенный load balancer, см. .
агентство	Для настройки load balancer необходимо иметь разрешение на доступ к ресурсам ELB. Настроив IAM агентство, вы можете предоставить CSS доступ к его ресурсам ELB через связанную учётную запись. Если вы настраиваете агентство впервые, нажмите Automatically Create IAM Agency, чтобы создать css-elb-agency. Если ранее был автоматически создан IAM агентство, вы можете нажать One-click authorization, чтобы разрешения, связанные с ролью ELB Administrator или системной политикой ELB FullAccess, были удалены автоматически, а вместо этого автоматически добавились следующие пользовательские политики для более тонкого управления разрешениями. "elb:loadbalancers:list", "elb:loadbalancers:get", "elb:certificates:list", "elb:healthmonitors:", "elb:members:", "elb:pools:", "elb:listeners:" Для использования Automatically Create IAM Agency и One-click authorization требуются следующие минимальные разрешения: "iam:agencies:listAgencies", "iam:roles:listRoles", "iam:agencies:getAgency", "iam:agencies:createAgency", "iam:permissions:listRolesForAgency", "iam:permissions:grantRoleToAgency", "iam:permissions:listRolesForAgencyOnProject", "iam:permissions:revokeRoleFromAgency", "iam:roles:createRole" Для использования IAM агентства требуются следующие минимальные разрешения: "iam:agencies:listAgencies", "iam:agencies:getAgency", "iam:permissions:listRolesForAgencyOnProject", "iam:permissions:listRolesForAgency"

Нажмите OK, чтобы включить load balancing.

Информация о балансировщике нагрузки отображается.

В области Listener нажмите

, чтобы настроить прослушиватель и обеспечить надлежащую доступность кластера CSS.

Table 4 Listener configuration
Параметр	Описание
Frontend Protocol	Протокол, используемый клиентом и прослушивателем для распределения трафика. Выберите HTTP или HTTPS. Выберите этот протокол в соответствии с вашими потребностями в подключении.
Frontend Port	Порт, используемый клиентом и прослушивателем для распределения трафика. Установите этот параметр в соответствии с требованиями сайта.
SSL Authentication	Режим аутентификации клиента. Установите этот параметр только когда Frontend Protocol установлен в HTTPS. Поддерживается как односторонняя, так и двусторонняя аутентификация. Выберите режим аутентификации, соответствующий вашим потребностям.
Server Certificate	Серверный сертификат используется для SSL‑рукопожатия. Должны быть предоставлены содержимое сертификата и закрытый ключ. Он требуется только когда Frontend Protocol установлен в HTTPS. Выберите серверный сертификат, созданный в ELB.
CA Certificate	Также называется публичным ключевым сертификатом клиентского CA. Он используется для проверки издателя клиентского сертификата. Он требуется только когда SSL Authentication установлен в Two-way authentication. Выберите CA‑сертификат, созданный в ELB. Когда включена двухсторонняя аутентификация HTTPS, HTTPS‑соединение может быть установлено только если клиент может предоставить сертификат, выданный доверенным CA.

Рисунок 1 Настройка прослушивателя

(Optional) В области Listener нажмите Configure рядом с Access Control, чтобы перейти к списку прослушивателей балансировщика нагрузки. Нажмите Configure в столбце Access Control прослушивателя, чтобы настроить контроль доступа для этого прослушивателя. Вы можете указать IP‑адреса, которым разрешён доступ к вашему кластеру, для повышения безопасности. Для получения дополнительной информации см. раздел "What Is Access Control?" в Elastic Load Balance User Guide.

Warning

Без политик контроля доступа все IP‑адреса могут получать доступ к кластеру CSS через этот балансировщик нагрузки, что может создать риски безопасности.

В области Health Check вы можете проверить результаты проверки состояния для каждого IP‑адреса узла, гарантируя, что каждый узел кластера работает корректно.

Таблица 5 Описание результата проверки состояния
Health Check Result	Description
Нормально	IP-адрес узла подключен.
Аномально	IP-адрес узла отключен.

Если кластер больше не нуждается в выделенном load balancer, отсоедините его, чтобы освободить ресурсы.

Выберите Load Balancing > OpenSearch, отключите Load Balancing. В отображаемом диалоговом окне нажмите OK.

Caution

После отсоединения load balancer любые конфигурации listener или backend server group будут удалены без возможности восстановления.

Доступ к кластеру через Load Balancer с помощью выполнения cURL‑команд

В левой панели навигации консоли CSS выберите Clusters.

Войдите в консоль управления CSS.

В левой панели навигации выберите Clusters > OpenSearch.

В списке кластеров нажмите название целевого кластера. Отобразится страница информации о кластере.

Нажмите вкладку Cluster Access, затем нажмите вкладку Load Balancing. На вкладке OpenSearch запишите частный или публичный IP-адрес или IPv6-адрес load balancer, а также протокол/порт фронтенда listener.

Caution

Не рекомендуется подключать load balancer, связанный с публичным IP-адресом, к кластеру в режиме без безопасности. Доступ из публичной сети с использованием такого load balancer может создать риски безопасности, поскольку кластер в режиме без безопасности может быть доступен по HTTP без аутентификации.

Выполните следующие cURL‑команды на ECS, чтобы проверить, может ли выделенный load balancer подключиться к кластеру.

Table 6 Команды для доступа к различным типам кластеров
Режим безопасности	Форма сервиса, предоставляемая ELB для внешних систем	Команда cURL для доступа к кластеру
Режим без безопасности	Без аутентификации	curl http://IP:port
	Односторонняя аутентификация	curl --cacert ./ca.crt https://IP:port
	Двусторонняя аутентификация	curl --cacert ./ca.crt --cert ./client.crt --key ./client.key https://IP:port
Режим безопасности + HTTP	Парольная аутентификация	curl http://IP:port -u user:pwd
	Односторонняя аутентификация + Парольная аутентификация	curl --cacert ./ca.crt https://IP:port -u user:pwd
	Двусторонняя аутентификация + Парольная аутентификация	curl --cacert ./ca.crt --cert ./client.crt --key ./client.key https://IP:port -u user:pwd
Режим безопасности + HTTPS	Односторонняя аутентификация + Парольная аутентификация	curl --cacert ./ca.crt https://IP:port -u user:pwd
Режим безопасности + HTTPS	Двусторонняя аутентификация + Парольная аутентификация	curl --cacert ./ca.crt --cert ./client.crt --key ./client.key https://IP:port -u user:pwd

Table 7 Variables
Variable	Description
IP	IP-адрес экземпляра балансировщика нагрузки.
port	Протокол и порт фронтенда, настроенные для прослушивателя.
user	Имя пользователя кластера. Этот параметр требуется только для кластера security-mode.
pwd	Пароль указанного выше имени пользователя. Этот параметр требуется только для кластера security-mode.

Если информация о кластере возвращается, соединение успешно.

См. также: Sample Code for OpenSearchDemo and pom.xml Sample Code.

Sample Code for OpenSearchDemo

package org.example;

import java.io.ByteArrayInputStream;
import java.io.File;
import java.io.FileInputStream;
import java.io.IOException;
import java.io.InputStream;
import java.net.URI;
import java.net.http.HttpClient;
import java.net.http.HttpRequest;
import java.net.http.HttpResponse;
import java.nio.charset.StandardCharsets;
import java.security.KeyStore;
import java.security.SecureRandom;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;
import java.util.Base64;

import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLHandshakeException;
import javax.net.ssl.TrustManagerFactory;

public class OpensearchDemo {
    private static final String TRUSTED_CA_PATH = "path\\ca.pem"; // CA certificate path
    private static final String PKCS12_PATH = "path\\client.p12"; // Client certificate path
    private static final String KEY_PASSWORD = ""; // Client certificate password
    private static final String HOST_NAME = ""; // ELB IP address or domain name
    private static final int PORT = 9200; //ELB port
    private static final String ELB_URL = "https://" + HOST_NAME + ":" + PORT;
    private static final String OS_USER = ""; // OpenSearch username
    private static final String OS_PASS = ""; // OpenSearch user password
    public static void main(String[] args) throws Exception {
        // 1. Create a standard SSLContext.
        SSLContext sslContext = createStrictMtlsSslContext();
        // 2. Inject the SSLContext.
        HttpClient client = HttpClient.newBuilder()
            .sslContext(sslContext)
            .connectTimeout(java.time.Duration.ofSeconds(10))
            .build();
        String authHeader = getBasicAuthHeader(OS_USER, OS_PASS);
        HttpRequest request = HttpRequest.newBuilder()
            .uri(URI.create(ELB_URL + "/_cat/indices?v"))
            .GET()
            .header("Accept", "application/json")
            .header("Authorization", authHeader)
            .build();
        try {
            // Send a request.
            HttpResponse<String> response = client.send(request, HttpResponse.BodyHandlers.ofString());
            System.out.println("http statusCode: " + response.statusCode());
            System.out.println("response body:\n" + response.body());
        } catch (SSLHandshakeException e) {
            System.err.println("SSLHandshakeException: " + e.getMessage());
            e.printStackTrace();
        } catch (IOException e) {
            System.err.println("IOException: " + e.getMessage());
            e.printStackTrace();
        }
    }

    /**
     * Create an SSLContext.
     */
    private static SSLContext createStrictMtlsSslContext() throws Exception {
        // --- 1. Prepare a truststore (server authentication)---
        KeyStore trustStore = KeyStore.getInstance("PKCS12");
        trustStore.load(null, null);
        X509Certificate caCert = loadCertificate(TRUSTED_CA_PATH);
        trustStore.setCertificateEntry("ca-root", caCert);
        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(trustStore);
        // --- 2. Prepare a keystore (client identity)---
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        File p12File = new File(PKCS12_PATH);
        try (InputStream is = new FileInputStream(p12File)) {
            keyStore.load(is, KEY_PASSWORD.toCharArray());
        }
        KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        kmf.init(keyStore, KEY_PASSWORD.toCharArray());
        // --- 3. Initialize the SSLContext (standard mode)---
        SSLContext sslContext = SSLContext.getInstance("TLSv1.3");
        sslContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), new SecureRandom());
        return sslContext;
    }

    private static X509Certificate loadCertificate(String path) throws Exception {
        try (InputStream is = new FileInputStream(path)) {
            String pem = new String(is.readAllBytes(), StandardCharsets.UTF_8);
            String base64 = pem.replace("-----BEGIN CERTIFICATE-----", "")
                .replace("-----END CERTIFICATE-----", "")
                .replaceAll("\\s+", "");
            byte[] der = Base64.getDecoder().decode(base64);
            CertificateFactory cf = CertificateFactory.getInstance("X.509");
            return (X509Certificate) cf.generateCertificate(new ByteArrayInputStream(der));
        }
    }
    private static String getBasicAuthHeader(String user, String pass) {
        String auth = user + ":" + pass;
        String encoded = Base64.getEncoder().encodeToString(auth.getBytes(StandardCharsets.UTF_8));
        return "Basic " + encoded;
    }
}

pom.xml Sample Code

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <groupId>org.example</groupId>
    <artifactId>opensearch-demo</artifactId>
    <version>1.0</version>

    <properties>
        <maven.compiler.source>17</maven.compiler.source>
        <maven.compiler.target>17</maven.compiler.target>
        <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
    </properties>

    <dependencies>
        <dependency>
            <groupId>org.opensearch.client</groupId>
            <artifactId>opensearch-java</artifactId>
            <version>2.19.0</version>
        </dependency>

        <dependency>
            <groupId>org.opensearch.client</groupId>
            <artifactId>opensearch-rest-client</artifactId>
            <version>2.19.0</version>
        </dependency>

        <dependency>
            <groupId>org.apache.httpcomponents.client5</groupId>
            <artifactId>httpclient5</artifactId>
            <version>5.3.1</version>
        </dependency>

        <dependency>
            <groupId>com.fasterxml.jackson.core</groupId>
            <artifactId>jackson-databind</artifactId>
            <version>2.17.0</version>
        </dependency>
    </dependencies>
</project>

Родительская тема: Network Settings

Предыдущая статья

Настройка доступа к публичной сети

Следующая статья

Настройка VPC Endpoints

Эта статья полезна?

Поддержка Юридические документы Политика конфиденциальности