部署ECK+Istio环境下Elasticsearch OIDC强制TLS的困惑

核心原因：不是OAuth2规范要求，是Elasticsearch实现与IDP约束 #

你提到的OAuth2规范本身确实没有强制资源服务器必须启用TLS，但Elasticsearch的OIDC认证存在两个硬约束：

1. IDP的回调URL强制要求HTTPS
   所有主流IDP（如Keycloak、Okta）都要求OIDC客户端的回调地址必须是HTTPS协议——授权码属于敏感凭证，IDP不会将其发送到HTTP地址。而Elasticsearch作为OIDC客户端，回调地址（默认是/_security/oauth2/callback）必须指向自身的HTTP端点，因此ES的HTTP服务必须启用TLS，否则IDP会直接拒绝回调请求。
2. Elasticsearch X-Pack安全插件的强制校验
   Elasticsearch的安全插件在启用OIDC认证时，会强制检查HTTP层是否开启TLS，这是产品层面的设计约束，目的是确保认证流程中敏感数据（如授权码、访问令牌）的传输安全，哪怕外部网关已经做了TLS，内部ES服务也必须配置自身的TLS。

针对你的Istio场景的解决方案 #

你的集群已经通过Istio实现了网关TLS和内部mTLS，不需要给ES配置公网证书，也无需手动分发自签名CA，可以按以下思路处理：

• 用Istio内部CA为ES配置TLS
  ECK支持自定义Elasticsearch的TLS证书，你可以挂载Istio注入到Pod的CA证书（路径/var/run/secrets/istio/root-cert.pem），同时用Istio的CA签发ES的服务证书，然后在ECK的Elasticsearch CR中配置：

  spec:
    http:
      tls:
        certificate_authorities: ["/var/run/secrets/istio/root-cert.pem"]
        certificate: "/path/to/es-tls-cert.pem"
        key: "/path/to/es-tls-key.pem"
  

  这样ES的内部HTTP服务使用Istio证书，内部服务通过Istio代理访问ES时会自动信任该CA，无需手动添加。
• 将OIDC回调地址配置为网关HTTPS地址
  由于所有流量都走网关，把ES的OIDC回调地址设置为网关的外部HTTPS地址（比如https://your-gateway-domain/_security/oauth2/callback），网关会将请求转发到内部ES服务。这样IDP回调到网关的HTTPS地址，符合IDP要求，同时ES内部的TLS仅需在集群内部生效。
• 跳过cert-manager的公网证书问题
  既然ES服务无需暴露到公网，就不需要申请公网可信证书，直接使用集群内部CA（Istio CA或ECK自带CA）签发证书即可，完全满足内部通信的安全需求。

总结 #

你之前忽略的是Elasticsearch作为OIDC客户端的回调URL约束，以及Elasticsearch自身安全插件的强制TLS校验——这两个点并非OAuth2规范的通用要求，但却是Elasticsearch OIDC实现的必要条件。结合Istio的mTLS能力，你可以用内部证书解决TLS问题，无需公网证书或手动分发CA。

内容的提问来源于stack exchange，提问作者Tomáš Přitrský