elasticsearch - 在应用程序中设置证书颁发机构证书有什么作用？

Question

当应用程序可选地允许您指定代表证书颁发机构的证书时，这是在做什么？

这是否基本上将该证书设置为“受信任”证书？

具体例子:

Kibana 与 elasticsearch 通信。配置kibana时，可以设置如下配置值:

elasticsearch.ssl.ca

文档说这个值是“可选设置，使您能够为 Elasticsearch 实例的证书颁发机构指定 PEM 文件的路径。” (source)

在同一配置中，您还指定了可用于与 elasticsearch 实例通信的证书和 key 。

Answer 1

如果设置是可选的，则意味着默认行为是使用系统根 CA 来验证 Elasticsearch 实例使用的 SSL 服务器证书。如果您使用标准的商业 SSL 服务器证书，这就足够了。

是的，您将该证书设置为根 CA，但仅适用于该应用程序。

使用该设置，您可以指定用于生成 SSL 服务器证书的根 CA。如果您:

使用自签名证书

使用系统根 CA 存储库中不可用的根 CA

需要有严格的安全设置来限制您的应用程序信任的根 CA 的子集。