JUnit5中Elasticsearch 7.x Testcontainer SSL配置及优化咨询

一、是否有必要启用TLS？ #

如果测试目标是完全对齐生产环境（生产启用了TLS），必须启用。这能确保测试覆盖SSL证书验证、HTTPS连接逻辑等生产核心行为，避免出现“测试通过但生产报错”的情况。如果仅做基础功能验证且生产无TLS要求，可以不启用，但建议尽可能对齐生产配置。

二、为什么证书必须放在config目录？ #

核心原因是权限限制：

• Elasticsearch容器默认以elasticsearch用户启动，该用户对/usr/share/elasticsearch/config目录拥有预设的读写权限；
• 自定义目录（如/certs）默认属于root用户，elasticsearch用户无读取权限，启动时会因无法访问证书文件报错；
• 同时，config是Elasticsearch官方推荐的配置存储目录，证书放在这里符合默认目录结构，无需额外配置权限。

三、更优雅健壮的实现方式 #

1. 简化配置冗余 #

将重复的证书路径提取为常量，减少代码重复，提升可维护性：

static final String CERT_DIR = "/usr/share/elasticsearch/config/certs/";
static final Map<String, String> sslVars = Map.of(
    "xpack.security.http.ssl.enabled", "true",
    "xpack.security.http.ssl.key", CERT_DIR + "elastic-node.key",
    "xpack.security.http.ssl.certificate", CERT_DIR + "elastic-node.crt",
    "xpack.security.http.ssl.certificate_authorities", CERT_DIR + "ca.crt",
    "xpack.security.http.ssl.verification_mode", "certificate",
    "xpack.security.transport.ssl.enabled", "true",
    "xpack.security.transport.ssl.key", CERT_DIR + "elastic-node.key",
    "xpack.security.transport.ssl.certificate", CERT_DIR + "elastic-node.crt",
    "xpack.security.transport.ssl.certificate_authorities", CERT_DIR + "ca.crt",
    "xpack.security.transport.ssl.verification_mode", "certificate"
);

2. 动态生成自签名证书（无需提前打包证书） #

避免将证书硬编码到项目资源中，通过代码动态生成临时自签名证书，更灵活安全：

// 依赖BouncyCastle等库生成自签名证书（核心逻辑示例）
KeyPair keyPair = generateRsaKeyPair();
X509Certificate nodeCert = generateSelfSignedCertificate(keyPair, "CN=es-node");
X509Certificate caCert = generateCaCertificate();

// 创建临时目录存储证书
Path tempCertDir = Files.createTempDirectory("es-test-certs");
Files.write(tempCertDir.resolve("elastic-node.key"), keyPair.getPrivate().getEncoded());
Files.write(tempCertDir.resolve("elastic-node.crt"), nodeCert.getEncoded());
Files.write(tempCertDir.resolve("ca.crt"), caCert.getEncoded());

// 复制临时证书目录到容器
MountableFile certMount = MountableFile.forHostPath(tempCertDir);

ElasticsearchContainer container = new ElasticsearchContainer(
    DockerImageName.parse("docker.elastic.co/elasticsearch/elasticsearch:7.17.3"))
    .withReuse(true)
    .withCopyFileToContainer(certMount, CERT_DIR)
    .withCertPath(CERT_DIR + "ca.crt")
    .withEnv(sslVars)
    .withPassword("password");

这种方式每次测试生成全新证书，避免证书过期、泄露风险，也无需维护项目内的证书文件。

3. 自定义目录权限（可选） #

如果一定要将证书放在非config目录，需在启动时修改目录权限：

ElasticsearchContainer container = new ElasticsearchContainer(
    DockerImageName.parse("docker.elastic.co/elasticsearch/elasticsearch:7.17.3"))
    .withReuse(true)
    .withCopyFileToContainer(mountableKey, "/certs/")
    .withCopyFileToContainer(mountableCrt, "/certs/")
    .withCopyFileToContainer(mountableCa, "/certs/")
    // 先修改权限再启动Elasticsearch
    .withCommand("sh", "-c", "chown -R elasticsearch:elasticsearch /certs && /usr/local/bin/docker-entrypoint.sh eswrapper")
    .withCertPath("/certs/ca.crt")
    .withEnv(sslVars) // 需修改sslVars中的证书路径为/certs/...
    .withPassword("password");

但这种方式需要额外处理启动命令，不如直接使用config目录简洁。

内容的提问来源于stack exchange，提问作者Pompompurin