OpenSearch на Debian 11: установка и защита

Логотип OpenSearch или иллюстрация: OpenSearch и Dashboards

О чём этот материал

Этот подробный пошаговый гид показывает, как вручную установить OpenSearch (форк Elasticsearch) и OpenSearch Dashboards (форк Kibana) на сервер с Debian 11. Вы научитесь:

Подготавливать систему (hostname, swap, vm.max_map_count).
Устанавливать OpenSearch и OpenSearch Dashboards из tarball.
Генерировать и устанавливать TLS‑сертификаты для шифрования транспортного и HTTP‑трафика.
Включать и настраивать плагин безопасности, добавлять пользователей.
Запускать оба компонента как systemd‑сервисы.
Базовая проверка, отладка и рекомендации по производительности и безопасности.

Важно: все команды показаны для примера. Замените IP‑адреса, CN и пароли на значения, соответствующие вашей инфраструктуре.

Быстрая проверка совместимости

Факты и числа:

Требуемая оперативная память: минимум 8 ГБ (рекомендуется 16 ГБ для production).
Параметр vm.max_map_count: рекомендовано 262144.
Порты OpenSearch: 9200 (HTTP), 9300 (transport).
Версия в примерах: OpenSearch 2.4.1 (проверяйте актуальную версию).

Требования

Для выполнения этого руководства вам понадобится:

Сервер с Debian 11 и минимум 8 ГБ ОЗУ. В примерах используется хост с именем node1 и локальным IP 192.168.5.50.
Непользователь root с sudo или доступ root.
Прямой доступ к серверу (консоль/SSH) и возможность открыть порты 9200/9300/5601 в фаерволе при необходимости.

Если всё готово — начинаем.

Подготовка системы

Перед установкой важно подготовить и оптимизировать систему для запуска JVM и OpenSearch.

Почему это важно: OpenSearch активно использует память и mmap. Без отключённого swap, корректного vm.max_map_count и настроенной кучи JVM вы получите нестабильную производительность или ошибку при запуске.

Установка hostname и FQDN

В этом примере хост называется node1 и имеет FQDN node1.hwdomain.lan.

sudo hostnamectl set-hostname node1
echo "192.168.5.50  node1.hwdomain.lan  node1" >> /etc/hosts

Проверьте FQDN:

hostname -f

Вывод — пример подтверждения FQDN:

Проверка FQDN сервера

Отключение swap

OpenSearch требует отключения swap для предсказуемой работы JVM. Отключите swap и закомментируйте записи в /etc/fstab, чтобы отключение было постоянным.

sudo sed -i '/ swap / s/^\(.*\)$/#\1/g' /etc/fstab
sudo swapoff -a

Проверка статуса памяти:

free -m

Ожидаемый вывод: строка swap показывает 0.

Вывод команды free -m после отключения swap

Установка vm.max_map_count

OpenSearch использует память через mmap; для корректной работы увеличьте vm.max_map_count.

sudo bash -c 'echo "vm.max_map_count=262144" >> /etc/sysctl.conf'
sudo sysctl -p

Проверка:

cat /proc/sys/vm/max_map_count

Ожидаемый результат: 262144.

Проверка vm.max_map_count

Советы:

Для production узлов часто выделяют минимум половину ОЗУ под heap JVM, но не более ~30–32 ГБ (ограничение HotSpot для compressed OOP).
Планируйте мониторинг памяти (метрики JVM, GC, память ОС).

Скачивание OpenSearch и подготовка пользователя

В примере мы устанавливаем OpenSearch из tarball. Создадим системного пользователя и директории для установки.

Создание пользователя и группы

sudo adduser --system --shell /bin/bash -U 10001 --no-create-home opensearch
sudo groupadd opensearch
sudo usermod -aG opensearch opensearch
mkdir -p /home/opensearch
sudo chown -R opensearch /home/opensearch

Создание системного пользователя и группы opensearch

Скачивание и распаковка tarball

Проверьте актуальную версию на официальном сайте OpenSearch. В примере используется 2.4.1.

wget https://artifacts.opensearch.org/releases/bundle/opensearch/2.4.1/opensearch-2.4.1-linux-x64.tar.gz
tar xf opensearch-2.4.1-linux-x64.tar.gz
sudo mv opensearch-2.4.1 /opt/opensearch
sudo chown -R opensearch /opt/opensearch

После этого основной каталог установки — /opt/opensearch.

Обратите внимание: в production часто применяют пакетные менеджеры (deb/rpm) или контейнеры для автоматических обновлений и управления, но tarball даёт максимальную простоту и контроль.

Настройка OpenSearch

В этой секции мы настроим bind IP, режим single-node (для одноузлового окружения), включим плагин безопасности и зададим параметры JVM.

Перейдите в каталог установки:

cd /opt/opensearch

Откройте файл конфигурации:

sudo nano config/opensearch.yml

Добавьте (или отредактируйте) эти строки:

# Bind OpenSearch to interface or IP address
network.host: 192.168.5.50

# OpenSearch deployment type
discovery.type: single-node

# Re-enable security plugins
plugins.security.disabled: false

Пояснения:

network.host указывает, на каком интерфейсе слушать трафик. Для внешнего доступа используйте реальный IP или 0.0.0.0 с осторожностью.
discovery.type: single-node — удобно для тестовых сред; для кластера используйте настройку на основе начального списка узлов.
plugins.security.disabled: false — включает плагин безопасности OpenSearch.

OpenSearch запущен после базовой конфигурации

Настройка JVM heap

Откройте файл опций JVM:

sudo nano config/jvm.options

Установите Xms и Xmx в соответствии с RAM. В примере выделено по 2 GB:

-Xms2g
-Xmx2g

Параметры кучи JVM для OpenSearch

Советы:

Для production: Xms и Xmx должны быть одинаковыми для стабильности.
Не делайте Xmx > 31–32 GB, если не хотите потерять сжатые указатели (compressed OOP).

Переменные окружения Java

Если OpenSearch поставлен с JDK внутри дистрибутива, экспортируйте:

export OPENSEARCH_JAVA_HOME=/opt/opensearch/jdk
echo $OPENSEARCH_JAVA_HOME

После этого можно переходить к генерации TLS‑сертификатов.

Генерация TLS сертификатов

Шифруйте транспортный (node‑to‑node) и HTTP (REST) трафик. Пошагово создадим root CA, административный сертификат и сертификат узла.

Создайте каталог для сертификатов:

mkdir -p /opt/opensearch/config/certs; cd /opt/opensearch/config/certs

Генерация корневого CA

openssl genrsa -out root-ca-key.pem 2048
openssl req -new -x509 -sha256 -key root-ca-key.pem -subj "/C=CA/ST=ONTARIO/L=TORONTO/O=ORG/OU=UNIT/CN=ROOT" -out root-ca.pem -days 730

В результате появятся root-ca-key.pem (приватный ключ) и root-ca.pem (сертификат).

Админский сертификат

Генерируем приватный ключ и конвертируем в PKCS#8 (совместимость с Java):

openssl genrsa -out admin-key-temp.pem 2048
openssl pkcs8 -inform PEM -outform PEM -in admin-key-temp.pem -topk8 -nocrypt -v1 PBE-SHA1-3DES -out admin-key.pem
openssl req -new -key admin-key.pem -subj "/C=CA/ST=ONTARIO/L=TORONTO/O=ORG/OU=UNIT/CN=A" -out admin.csr
openssl x509 -req -in admin.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial -sha256 -out admin.pem -days 730

admin.pem — сертификат администратора, admin-key.pem — закрытый ключ в PKCS#8.

Сертификат узла (node)

Процесс похож на админский, но CN должен соответствовать hostname или IP узла.

openssl genrsa -out node1-key-temp.pem 2048
openssl pkcs8 -inform PEM -outform PEM -in node1-key-temp.pem -topk8 -nocrypt -v1 PBE-SHA1-3DES -out node1-key.pem
openssl req -new -key node1-key.pem -subj "/C=CA/ST=ONTARIO/L=TORONTO/O=ORG/OU=UNIT/CN=node1.hwdomain.lan" -out node1.csr
# Создаём SAN файл с FQDN (и при необходимости IP)
echo 'subjectAltName=DNS:node1.hwdomain.lan' > node1.ext
openssl x509 -req -in node1.csr -CA root-ca.pem -CAkey root-ca-key.pem -CAcreateserial -sha256 -out node1.pem -days 730 -extfile node1.ext

Ожидаемые файлы: node1.pem и node1-key.pem.

Генерация сертификатов для узла OpenSearch

Подготовка сертификатов к использованию

Удалим временные файлы, конвертируем root в CRT и добавим в систему доверенных CA (по необходимости):

rm *temp.pem *csr *ext
openssl x509 -outform der -in root-ca.pem -out root-ca.crt
sudo cp root-ca.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

Ожидаемый вывод: 1 added

Добавление корневого сертификата в систему

Назначим владельца каталога и права доступа:

sudo chown -R opensearch /opt/opensearch/config/certs
sudo chmod 0700 /opt/opensearch/config/certs
sudo chmod 0600 /opt/opensearch/config/certs/*.pem
sudo chmod 0600 /opt/opensearch/config/certs/*.crt

Права и владельцы для каталога сертификатов

Добавление сертификатов в конфигурацию OpenSearch

Чтобы OpenSearch использовал TLS и плагин безопасности, добавим соответствующие параметры в opensearch.yml. Для автоматизации приведён пример скрипта add.sh.

Создайте файл add.sh:

nano add.sh

Вставьте (замените пути при необходимости):

#! /bin/bash

# Before running this script, make sure to replace the /path/to your OpenSearch directory,
# and remember to replace the CN in the node's distinguished name with a real
# DNS A record.

echo "plugins.security.ssl.transport.pemcert_filepath: /opt/opensearch/config/certs/node1.pem" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.ssl.transport.pemkey_filepath: /opt/opensearch/config/certs/node1-key.pem" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.ssl.transport.pemtrustedcas_filepath: /opt/opensearch/config/certs/root-ca.pem" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.ssl.http.enabled: true" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.ssl.http.pemcert_filepath: /opt/opensearch/config/certs/node1.pem" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.ssl.http.pemkey_filepath: /opt/opensearch/config/certs/node1-key.pem" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.ssl.http.pemtrustedcas_filepath: /opt/opensearch/config/certs/root-ca.pem" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.allow_default_init_securityindex: true" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.authcz.admin_dn:" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "  - 'CN=A,OU=UNIT,O=ORG,L=TORONTO,ST=ONTARIO,C=CA'" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.nodes_dn:" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "  - 'CN=node1.dns.a-record,OU=UNIT,O=ORG,L=TORONTO,ST=ONTARIO,C=CA'" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.audit.type: internal_opensearch" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.enable_snapshot_restore_privilege: true" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.check_snapshot_restore_write_privileges: true" | sudo tee -a /opt/opensearch/config/opensearch.yml
echo "plugins.security.restapi.roles_enabled: [\"all_access\", \"security_rest_api_access\"]" | sudo tee -a /opt/opensearch/config/opensearch.yml

Сделайте скрипт исполняемым и запустите:

chmod +x add.sh
./add.sh

Добавление TLS параметров в opensearch.yml

Проверьте файл /opt/opensearch/config/opensearch.yml — внизу должны появиться добавленные строки.

Фрагмент конфигурации с TLS настройками

Создание пользователей и применение настроек безопасности

Далее создадим пользователей internal_users.yml и применим изменения плагином securityadmin.

Генерация хешей паролей

Экспортируйте OPENSEARCH_JAVA_HOME и сделайте скрипты инструментов исполняемыми:

export OPENSEARCH_JAVA_HOME=/opt/opensearch/jdk
chmod 755 /opt/opensearch/plugins/opensearch-security/tools/*.sh

Перейдите в каталог инструментов и выполните hash.sh для генерации хеша пароля:

cd /opt/opensearch/plugins/opensearch-security/tools
./hash.sh

Введите пароль и скопируйте сгенерированный хеш. Повторите для второго пользователя (kibanaserver).

Генерация хешей паролей для пользователей

Скопируйте сгенерированный хеш для admin

Редактирование internal_users.yml

Откройте файл:

cd /opt/opensearch/config/opensearch-security/
sudo nano internal_users.yml

Замените содержимое на (подставьте ваши хеши):

...
admin:
   hash: "$2y$12$ChrsBPaDAJsuel.HXFi2Ie2Jn1MpdzXA4Nd1jeyXf65N97RDJc3Ky"
   reserved: true
   backend_roles:
   - "admin"
   description: "Admin user"

kibanaserver:
  hash: "$2y$12$wIeuRDp5txoJ3d6.lyybJOPwoRaizuuBvlKKzAGdAiu.I/qaX8hXu"
  reserved: true
  description: "Demo OpenSearch Dashboards user"

Сохраните файл.

Конфигурация внутренних пользователей OpenSearch

Применение безопасности через securityadmin

Убедитесь, что директория /opt/opensearch принадлежит opensearch и запустите OpenSearch под пользователем opensearch, затем примените securityadmin:

sudo chown -R opensearch /opt/opensearch
su - opensearch
cd /opt/opensearch/bin
./opensearch

В новом окне терминала (или второй сессии) выполите:

su - opensearch
cd /opt/opensearch/plugins/opensearch-security/tools
OPENSEARCH_JAVA_HOME=/opt/opensearch/jdk ./securityadmin.sh -h 192.168.5.50 -p 9200 -cd /opt/opensearch/config/opensearch-security/ -cacert /opt/opensearch/config/certs/root-ca.pem -cert /opt/opensearch/config/certs/admin.pem -key /opt/opensearch/config/certs/admin-key.pem -icl -nhnv

Этот скрипт применит настройки ролей и пользователей в security index.

Применение настроек безопасности через securityadmin

После применения прервите старую сессию (Ctrl+C) и заново запустите OpenSearch в foreground или подготовьте systemd‑сервис.

Проверка curl (с флагом -k для самоподписанного CA или используйте –cacert):

curl https://192.168.5.50:9200 -u admin:password -k
curl https://192.168.5.50:9200 -u kibanaserver:kibanapass -k

Примеры успешной аутентификации:

Ответ OpenSearch для admin

Ответ OpenSearch для kibanaserver

Запуск OpenSearch как systemd‑сервис

Чтобы OpenSearch работал в фоне и автоматически стартовал при загрузке, создайте systemd unit.

Создайте файл /etc/systemd/system/opensearch.service:

sudo nano /etc/systemd/system/opensearch.service

Вставьте:

[Unit]
Description=OpenSearch
Wants=network-online.target
After=network-online.target

[Service]
Type=forking
RuntimeDirectory=data

WorkingDirectory=/opt/opensearch
ExecStart=/opt/opensearch/bin/opensearch -d

User=opensearch
Group=opensearch
StandardOutput=journal
StandardError=inherit
LimitNOFILE=65535
LimitNPROC=4096
LimitAS=infinity
LimitFSIZE=infinity
TimeoutStopSec=0
KillSignal=SIGTERM
KillMode=process
SendSIGKILL=no
SuccessExitStatus=143
TimeoutStartSec=75

[Install]
WantedBy=multi-user.target

Примените и запустите:

sudo systemctl daemon-reload
sudo systemctl start opensearch
sudo systemctl enable opensearch
sudo systemctl status opensearch

Запуск и включение сервиса OpenSearch

Проверьте порты и статус:

ss -tulpn

На машине должны быть открыты 9200 и 9300 (java).

Проверка портов OpenSearch

Установка OpenSearch Dashboards

Скачайте tarball Dashboards, распакуйте и настройте подключение к кластеру OpenSearch.

wget https://artifacts.opensearch.org/releases/bundle/opensearch-dashboards/2.4.1/opensearch-dashboards-2.4.1-linux-x64.tar.gz
tar xf opensearch-dashboards-2.4.1-linux-x64.tar.gz
sudo mv opensearch-dashboards-* /opt/opensearch-dashboards
sudo chown -R opensearch /opt/opensearch-dashboards

Скачивание OpenSearch Dashboards

Откройте конфигурацию:

cd /opt/opensearch-dashboards
sudo nano config/opensearch_dashboards.yml

Отредактируйте параметры сервера и подключение к OpenSearch:

server.port: 5601
server.host: "192.168.5.50"

opensearch.hosts: [https://192.168.5.50:9200]
opensearch.ssl.verificationMode: none
opensearch.username: kibanaserver
opensearch.password: kibanapass

Замечание: опция verificationMode: none используется в примере, чтобы не проверять самоподписанные сертификаты; в production указывайте cacert и включайте проверку.

Настройка OpenSearch Dashboards подключения

Systemd unit для OpenSearch Dashboards

Создайте /etc/systemd/system/opensearch-dashboards.service:

sudo nano /etc/systemd/system/opensearch-dashboards.service

Вставьте:

[Unit]
Description=OpenSearch-Dashboards
Wants=network-online.target
After=network-online.target opensearch.service

[Service]
Type=simple
User=opensearch
Environment=NODE_ENV=production
Environment=CONFIG_PATH=/opt/opensearch-dashboards/config/opensearch_dashboards.yml
WorkingDirectory=/opt/opensearch-dashboards
ExecStart=/opt/opensearch-dashboards/bin/opensearch-dashboards
StandardOutput=journal
StandardError=inherit
Restart=on-failure

[Install]
WantedBy=multi-user.target

Примените и запустите:

sudo systemctl daemon-reload
sudo systemctl start opensearch-dashboards
sudo systemctl enable opensearch-dashboards
sudo systemctl status opensearch-dashboards

Запуск и включение OpenSearch Dashboards

Проверка: Dashboards должен быть доступен по http://192.168.5.50:5601

Проверка статуса сервиса Dashboards

Доступ к OpenSearch Dashboards

Откройте браузер: http://192.168.5.50:5601

Войдите под пользователем kibanaserver и паролем, который вы задали.

Страница входа OpenSearch Dashboards

После входа вы увидите приветственную страницу и сможете добавить данные или исследовать сервер.

Главная страница OpenSearch Dashboards после входа

Чтобы убедиться, что Dashboards подключен к OpenSearch, откройте Dev Tools и выполните GET / .

Dev Tools: проверка OpenSearch из Dashboards

Проверки, тесты и приёмка

Критерии приёмки — минимальный набор проверок, чтобы считать установку успешной:

OpenSearch и Dashboards запущены как systemd‑сервисы и активны.
При обращении к https://:9200 возвращается ответ с кодом 200 при корректной аутентификации.
Плагины безопасности активны, пользователи существуют и могут аутентифицироваться.
TLS‑сертификаты установлены и используются (проверка через openssl s_client при желании).
Нет swap, vm.max_map_count соответствует требованию.

Тестовые команды:

sudo systemctl status opensearch
sudo systemctl status opensearch-dashboards
curl https://192.168.5.50:9200 -u admin:password -k
ss -tulpn | grep java

Операционный Playbook и runbook (сценарии инцидентов)

Приведён упрощённый playbook для типичных операций.

Шаги до развертывания:

Создайте резервную копию /opt/opensearch/config и каталога certs.
Убедитесь, что сертификаты подписаны и CN/SAN корректны.
Протестируйте на staging перед production.

Runbook: OpenSearch не стартует

Просмотрите логи journalctl -u opensearch и /opt/opensearch/logs/.
Проверьте права на /opt/opensearch/config/certs (0700 для каталога, 0600 для файлов).
Убедитесь, что OPENSEARCH_JAVA_HOME установлен и JDK доступен.
Если ошибка связана с памятью — проверьте Xmx/Xms и свободную память ОС.
Если ошибка сертификатов — проверьте CN/SAN и корректность .pem/.key файлов.

Runbook: ошибка аутентификации в Dashboards

В Dev Tools выполнить curl к кластеру как admin (проверить credentials).
Проверить internal_users.yml и роли в roles.yml.
Пересоздать хеш пароля через tools/hash.sh и применить securityadmin.

Тестовые случаи и приёмка

Примеры тестов приёмки:

Тест 1: Подключение curl к 9200 как admin с верным паролем — ожидается 200.
Тест 2: Подключение curl к 9200 как неизвестный пользователь — ожидается 401/403.
Тест 3: Веб‑доступ к Dashboards на 5601, логин kibanaserver — успешный вход.
Тест 4: Snapshot/restore — тест создания и восстановления индекса.

KPI/SLI (рекомендации):

Доступность API 99.9% (SLA определяется вашей организацией).
Среднее время отклика GET / < 200 ms при нормальной нагрузке.

Производительность и настройка

Советы по производительности:

Heap: выделяйте 50% RAM, но не более 31–32 GB для heap.
thread pool и refresh_interval: для индексации больших объёмов временно увеличьте refresh_interval и выключите реплики.
Используйте горячие/тёплые/холодные ноды для разделения ролей по хранилищу и CPU.
Регулярно мониторьте GC паузы (latency spikes).

Мониторинг:

Собирайте метрики JVM, GC, search/merge/refresh latencies.
Используйте прометей/графану или внутренние статистики OpenSearch для алертинга.

Подключение источников данных

После установки вы можете отправлять логи и метрики в OpenSearch через:

Filebeat / Metricbeat (Elastic Beats fork или интеграции).
Logstash / Fluentd / Fluent Bit.
Прямой POST/Index API из приложений.

Пример отправки через curl (индексирование документа):

curl -X POST "https://192.168.5.50:9200/my-index/_doc/1" -u admin:password -k -H 'Content-Type: application/json' -d '{"message":"hello opensearch","@timestamp":"2025-01-01T00:00:00Z"}'

Модель принятия решений для развертывания (Mermaid)

flowchart TD
  A[Нужен локальный поиск / логирование?] -->|нет| B[Не использовать OpenSearch]
  A -->|да| C[Требуется single-node?]
  C -->|да| D[Установить single-node на Debian]
  C -->|нет| E[Подготовить кластер: минимум 3 узла]
  E --> F{TLS и безопасность}
  F -->|да| G[Сгенерировать CA и certs]
  F -->|нет| H[Рассмотреть угрозы безопасности]
  G --> I[Применить securityadmin и roles]
  D --> I
  I --> J[Запустить systemd сервисы и мониторинг]

Роли и чеклисты

Роль: Системный администратор

Установить систему и обеспечить network.host.
Отключить swap, настроить vm.max_map_count.
Настроить systemd unit и автозапуск.

Роль: Инженер безопасности

Сгенерировать CA и сертификаты.
Настроить проверку TLS (strict) и audit.
Настроить firewall и RBAC.

Роль: Разработчик/DevOps

Подготовить ingest pipeline (Logstash/Fluentd).
Настроить парсеры и индексацию.
Обеспечить мониторинг и оповещения.

Когда этот подход не подходит и альтернативы

Контейнеры и orchestration: если у вас Kubernetes, лучше разворачивать OpenSearch через официальные Helm‑чарты или оператор OpenSearch для автоматического масштабирования и управления.

Пакетная установка: в некоторых окружениях удобнее использовать deb/rpm для автоматизированных обновлений и интеграции с systemd.

Коммерческие альтернативы: Elasticsearch (официальный), коммерческие SaaS‑решения (если не хочется управлять инфраструктурой).

Совместимость и миграция

Проверяйте совместимость версий OpenSearch и Dashboards. Миграции между мажорными версиями могут требовать конвертации индексов.
Перед апгрейдом снимите snapshot всех индексов и security index.
Тестируйте апгрейд на staging.

Локальные советы и подводные камни (для региональных развёртываний)

Внутренняя PKI: многие организации в РФ используют внутренние CA. Убедитесь, что root‑сертификат импортирован в систему и браузеры.
Масштабирование: при недостатке ресурсов виртуализации или облачных квот планируйте ноды с учётом IO‑характеристик.

Глоссарий (1‑строчник)

OpenSearch: открытый поисковый движок и аналитическая платформа, форк Elasticsearch.
Dashboards: визуализационная панель для OpenSearch (форк Kibana).
vm.max_map_count: максимальное количество областей отображения памяти для процесса Linux.
PKCS#8: стандарт формата приватного ключа, совместимый с Java.
SAN: Subject Alternative Name, расширение сертификата, где указывают DNS/IP.

Заключение

Вы установили OpenSearch и OpenSearch Dashboards на Debian 11, настроили TLS и пользователей и запустили оба сервиса как systemd‑юниты. В статье также приведены рекомендации по безопасности, мониторингу и операциям. Следующие шаги: развернуть кластер из нескольких узлов, настроить бэкапы snapshot, автоматизировать развёртывание и интегрировать сбор данных через Beats/Logstash/Fluentd.

Коротко о дальнейших ресурсах: изучите официальную документацию OpenSearch для управления ролями, snapshots, мониторинга и масштабирования.

Важно: примеры команд и конфигураций служат для демонстрации. Перед применением в production адаптируйте конфигурации под требования вашей инфраструктуры и политики безопасности.