eXcale開発チームの平栗です。

今回は、fluentd + Elasticsearch + Kibanaで始めるログ解析 (セットアップ編)で構築した環境に、ベーシック認証を通してアクセスする方法についてご紹介します。

前回の記事では、fluentdでログをElasticsearchに転送し、Elasticsearchで保存したログをKibanaで可視化できる環境を構築しました。
しかし、この環境ではKibanaへのアクセスに対して制限をかけていないので、誰でもKibanaを通してログのデータを見ることができるようになっています。
特に、インターネット経由でKibanaにアクセスできるようにしている場合は、公開したくない情報を誰かに見られてしまう危険性が高くなります。
今回は、この危険性を下げるためにKibanaへのアクセスにベーシック認証をかけるようにします。
合わせて、Nginxにリバースプロキシの設定を入れて、Elasticsearch-Kibanaの通信に使うポートを9200番から80番に変更し、直接Elasticsearchにアクセスできないようにします。

それでは設定していきます。

ベーシック認証用のパスワードファイルを作成する

htpasswdコマンドを使って、ベーシック認証で使うユーザとパスワードを設定します。

# htpasswd -cb <パスワードファイルのパス> <ユーザ名> <パスワード>

コマンド例
# htpasswd -cb /usr/local/nginx/conf/htpasswdflie hiroki password

# htpasswd -cb <パスワードファイルのパス> <ユーザ名> <パスワード>

コマンド例

# htpasswd -cb /usr/local/nginx/conf/htpasswdflie hiroki password

htpasswdコマンドを実行すると、ユーザとパスワードが保存されたパスワードファイルが作成されます。
コマンド例では、/usr/local/nginx/conf以下にhtpasswdfileというパスワードファイルが作成されます。

Nginxの設定を変更する

次に、Nginxでベーシック認証とリバースプロキシの設定を入れます。
/usr/local/nginx/conf/nginx.confを下記のように変更します。

        location / {
            root /opt/kibana/;
            index index.html index.htm;

            #ベーシック認証の設定
            auth_basic "Restricted";
            auth_basic_user_file htpasswdfile; #htpasswdのパスワードファイルのパス
        }

        #ここから下は全てリバースプロキシの設定
        location ~ ^/_aliases$ {
            proxy_pass http://127.0.0.1:9200;
            proxy_read_timeout 90;
        }
        location ~ ^/.*/_aliases$ {
            proxy_pass http://127.0.0.1:9200;
            proxy_read_timeout 90;
        }
        location ~ ^/_nodes$ {
            proxy_pass http://127.0.0.1:9200;
            proxy_read_timeout 90;
        }
        location ~ ^/.*/_search$ {
            proxy_pass http://127.0.0.1:9200;
            proxy_read_timeout 90;
        }
        location ~ ^/.*/_mapping$ {
            proxy_pass http://127.0.0.1:9200;
            proxy_read_timeout 90;
        }

        # Password protected end points
        location ~ ^/kibana-int/dashboard/.*$ {
            proxy_pass http://127.0.0.1:9200;
            proxy_read_timeout 90;
            limit_except GET {
                proxy_pass http://127.0.0.1:9200;
                auth_basic "Restricted";
                auth_basic_user_file htpasswdflie;
            }
         }
         location ~ ^/kibana-int/temp.*$ {
             proxy_pass http://127.0.0.1:9200;
             proxy_read_timeout 90;
             limit_except GET {
                 proxy_pass http://127.0.0.1:9200;
                 auth_basic "Restricted";
                 auth_basic_user_file htpasswdflie;
             }
         }

location / {

root /opt/kibana/;

index index.html index.htm;

#ベーシック認証の設定

auth_basic "Restricted";

auth_basic_user_file htpasswdfile; #htpasswdのパスワードファイルのパス

}

#ここから下は全てリバースプロキシの設定

location ~ ^/_aliases$ {