Elasticsearch 集群安装（3+ 节点、TLS、Kibana）

从零搭建一个 3 个或更多节点的 Elasticsearch 8.x / 9.x 集群：Elastic 仓库、按 RAM 计算 heap、memory lock、vm.max_map_count、第一个节点上的自动安全配置（TLS + elastic 密码）、其他节点通过 enrollment token 加入、master/data 角色合并或分离、Kibana 安装与 enrollment、共享 snapshot 仓库和每晚的 SLM 策略。最终得到一个受 TLS 和密码保护、状态为 green、带 Kibana 且每晚做 snapshot 的集群。已安装集群的日常运维（shard、磁盘、增删节点）、安全加固、snapshot/restore 和版本升级见其他 Elasticsearch 指南。

架构: 3+ 个 Elasticsearch 节点（+ 可选的 Kibana 服务器）

开始之前

• 所有服务器运行相同且受支持的操作系统版本，并已更新到最新。时钟已同步（chrony）：存在时钟偏差时，TLS 证书和 token 可能被判为无效。
• 每个节点 RAM 为 … GB（heap 将为 … MB），至少 2 个 CPU。Elasticsearch 自带 JDK；不要单独安装 Java。
• … 有足够的可用空间（磁盘使用达到 85% 时不再向该 data 节点分配新 shard，达到 90% 时 shard 开始迁移到其他节点）。建议使用 SSD。
• Hostname 和 IP 固定：……=……, ………, …=……。已开放：节点之间 9300（transport），客户端到节点 9200（HTTPS）…，用户到 Kibana 5601…。
• 服务器可以通过 HTTPS 访问 artifacts.elastic.co（或已配置内部镜像）。添加仓库后，下面的命令会列出可安装的版本。
• 服务器上没有旧的 Elasticsearch 安装或数据目录（旧集群的数据会阻止节点加入新集群）。
• … 在所有 master 和 data 节点上挂载自同一个 NFS 共享（在 fstab 中持久化）。elasticsearch 用户必须对该共享有写权限：如果该用户的 UID 在各节点上不一致，请在 NFS 端使用 all_squash,anonuid=… 或统一 UID。
• 已具备 root/sudo 权限、维护窗口和服务器快照。Enrollment token 有效期为 30 分钟；加入其他节点的步骤请连续执行，不要中断。

指南阶段

• 操作系统准备 — 设置 hostname · 设置 hostname（Kibana） · 配置名称解析（/etc/hosts） · 安装基础工具并同步时钟 · 写入内核参数（vm.max_map_count） · 应用 sysctl 设置 …
• Elastic 仓库与软件安装 — 导入 Elastic GPG 密钥 · 定义 Elastic 仓库 · 定义 Elastic 仓库 · 列出可安装的版本 · 安装 Elasticsearch · 锁定版本
• Heap、内存锁定与目录 — 设置 heap 大小 · 设置文件属主（heap.options） · 在 systemd 中允许锁定内存 · 重新加载 systemd · 准备数据目录 · 设置 snapshot 目录的权限
• 第一个节点：引导集群 — 写入 elasticsearch.yml（1 号节点） · 设置文件属主（elasticsearch.yml） · 启动服务（1 号节点） · 设置 elastic 用户的密码 · 为 API 访问创建临时凭据文件 · 检查集群状态（单节点） …
• 完成集群组建 — 验证所有节点都已加入 · 删除 cluster.initial_master_nodes 行 · 将 1 号节点转为专用 master：迁出 shard · 将 1 号节点角色设为 master 并清理其数据目录 · 删除临时 allocation 规则
• 验证 — 检查集群健康状态 · 检查内存锁定和 heap · 检查 master 选举和投票配置 · 用测试 index 检查 shard 分布 · 检查日志文件
• Kibana 安装与 enrollment — 安装 Kibana · 设置监听地址 · 创建 Kibana enrollment token · 将 Kibana 连接到集群（kibana-setup） · 将 Kibana 连接到多个节点 · 生成加密密钥 …
• Snapshot 仓库 — 注册并验证仓库 · 定义每晚 snapshot 策略（SLM）
• 安装后 — 创建应用用户和角色 · 为客户端准备 CA 证书 · 执行监控与备份检查清单 · 删除临时凭据文件