如何禁用Ranger向安全Elastic集群审计的SSL验证？配置未生效求助

配置修正与排查步骤 #

• 确认配置文件路径：确保修改的是对应组件的审计配置文件——针对HDFS审计，需修改ranger-hdfs-audit.xml；全局审计配置则修改ranger-audit.xml，错改文件会导致配置不生效。
• 替换为正确的SSL验证禁用配置：你使用的xasecure.audit.elasticsearch.ssl.verify在部分Ranger版本中已被废弃，改用以下两个配置项：
  1. 禁用主机名验证：

     <property>
       <name>xasecure.audit.elasticsearch.ssl.hostname.verification</name>
       <value>false</value>
     </property>
     

  2. 禁用SSL证书有效性校验：

     <property>
       <name>xasecure.audit.elasticsearch.ssl.verification.mode</name>
       <value>none</value>
     </property>
     

• 重启服务生效：修改配置后，重启Ranger Audit服务以及HDFS的Ranger插件服务，确保配置被加载。

额外排查建议 #

• 检查Elasticsearch SSL环境：若Elasticsearch用自签名证书，除禁用验证外，也可将证书导入Ranger服务的JVM信任库（默认路径$JAVA_HOME/jre/lib/security/cacerts），这是更安全的替代方案。
• 查看错误日志定位问题：查看Ranger审计日志（默认路径如/var/log/ranger/audit），从中提取SSL相关报错信息，比如证书不匹配、连接超时等，辅助定位具体问题。

内容的提问来源于stack exchange，提问作者CompEng