ELK 8.10集群添加节点失败：无法生成Elasticsearch注册令牌

问题场景 #

• 环境：ELK 8.10版本，2节点集群（1个主+数据节点、1个仅数据节点），手动通过elasticsearch-certutil创建SSL及HTTP证书，节点间通信已加密
• 故障：添加数据节点2时被主节点拒绝；执行elasticsearch-create-enrollment-token -s node生成注册令牌时触发报错：

Elasticsearch node HTTP layer SSL configuration Keystore doesn’t contain any PrivateKey entries where the associated certificate is a CA certificate

• 卡点：尝试相关修复方案时，keytool要求输入未设置的证书密码（测试时均留空）

解决步骤 #

1. 处理空密码的密钥库交互 #

因为测试时未设置证书密码，在keytool的密码输入环节直接按回车跳过即可，无需输入任何字符，空密码的密钥库支持这种交互方式。

2. 导入CA证书到HTTP密钥库（核心操作） #

执行以下命令，替换为实际的文件路径：

# 将CA证书导入HTTP密钥库，生成关联CA证书的PrivateKey条目
keytool -importkeystore -srckeystore elasticsearch-ca.p12 -srcstoretype PKCS12 -destkeystore http.p12 -deststoretype PKCS12

• 全程遇到密码输入提示时直接回车，完成后HTTP密钥库http.p12会满足生成注册令牌的条件。

3. 重启主节点Elasticsearch服务 #

修改密钥库后重启服务，确保配置生效：

systemctl restart elasticsearch

4. 重新生成注册令牌 #

再次执行命令生成节点注册令牌：

elasticsearch-create-enrollment-token -s node

使用该令牌即可正常添加数据节点2。

额外配置验证 #

如果问题仍存在，检查主节点elasticsearch.yml中的SSL配置，确保HTTP密钥库路径和空密码配置正确：

xpack.security.http.ssl.keystore.path: "http.p12"
xpack.security.http.ssl.keystore.password: ""

内容的提问来源于stack exchange，提问作者Sad1que