Elasticsearch SSL配置：如何信任Search Guard自签名演示证书？

我来帮你梳理下这个问题，针对开发环境里Search Guard演示证书的信任报错，有几个实用的排查点和替代方案可以试试：

一、确认证书导入的目标信任库是否正确 #

不同客户端/系统读取的信任库可能不一样，别导入错地方：

• Windows环境：务必把两个CA证书导入到本地计算机的「受信任的根证书颁发机构」存储，而不是当前用户的存储。很多服务或后台程序只会读取计算机级别的信任库，导入到用户目录里会读不到。
• Java客户端（比如Elasticsearch Java Client）：JVM有自己独立的信任库（cacerts文件，默认在JRE/lib/security目录下），系统信任库的证书它不认。你需要用keytool命令把CA证书导入进去：

  keytool -importcert -file root-ca.crt -keystore cacerts -alias root-ca
  keytool -importcert -file root-signing-ca.crt -keystore cacerts -alias root-signing-ca
  

  输入默认密码changeit完成导入后，重启你的Java应用生效。

二、确保提供完整的证书链给客户端 #

有时候只导入根CA和签名CA还不够，客户端需要完整的证书链才能完成验证。你可以把「ROOT CA」「ROOT Signing CA」「Node Certificate」三个证书合并成一个.pem文件，然后：

• 如果是用curl测试，直接通过参数指定这个文件：

  curl --cacert full-chain.pem https://your-es-node:9200
  

• 如果是用Elasticsearch官方客户端（比如NEST/Elasticsearch.NET），可以在配置里指定这个证书链文件，不用改验证回调：

  var settings = new ConnectionSettings(new Uri("https://your-es-node:9200"))
      .CertificateFingerprint("你的证书指纹") // 或者直接指定CA文件路径
      .ServerCertificateValidationCallback(CertificateValidations.AuthorityPartOfChain(new X509Certificate2("full-chain.pem")));
  

  这个是用客户端内置的链验证逻辑，完全符合官方文档的要求，不是自定义跳过验证的回调。

三、检查TLS协议版本兼容性 #

有些老客户端默认启用的TLS版本（比如TLS 1.0/1.1）可能和Search Guard的配置不兼容，Search Guard通常默认只启用TLS 1.2+。你可以在客户端显式指定兼容的协议版本，比如.NET里：

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;

这个只是设置协议版本，不属于重写验证回调，完全符合官方推荐的做法。

开发环境快速临时方案 #

如果只是临时测试，不想折腾系统信任库，还可以：

• 对于Python客户端（比如elasticsearch-py），直接在客户端配置里指定CA证书路径：

  from elasticsearch import Elasticsearch
  es = Elasticsearch(
      "https://your-es-node:9200",
      ca_certs="full-chain.pem"
  )
  

• 对于Postman等API测试工具，在请求的SSL设置里手动导入CA证书，就能正常建立连接。

内容的提问来源于stack exchange，提问作者user3458058