Kibana 是什么
5601 是 Kibana 的默认端口，也就是 Elastic Stack 的门面：日志检索、仪表盘、可视化与索引管理都从这个页面进入，后端由配置里的 Elasticsearch 地址与凭据连接。历史版本默认没有登录环节，浏览器打开就能看到全部数据，而日志库往往包含账号、令牌与内部地址等敏感字段，因此认证与访问收口是这项服务的第一优先级。
基本信息
| 服务 | Kibana（Elastic Stack） |
|---|---|
| 协议 | TCP/HTTP（默认 5601） |
| 配置文件 | /etc/kibana/kibana.yml |
| 后端依赖 | Elasticsearch（默认 9200） |
| 安全等级 | 仅运维网段，必须启用认证 |
典型使用场景
- 日志检索：按时间与字段定位故障发生前后的完整上下文
- 仪表盘：把关键业务与系统指标做成共享视图
- 索引与生命周期管理：查看索引大小、副本与留存策略
- 排障：面板无响应时先确认后端集群健康与凭据是否有效
- 安全评估：核对是否有匿名访问通道或过宽的角色授权
状态与配置检查
状态与配置检查
curl -s http://localhost:5601/api/status | head -c 400
grep -E 'server.port|server.host|elasticsearch.hosts' /etc/kibana/kibana.yml
curl -s http://localhost:9200/_cluster/health?pretty # 后端集群健康
/usr/share/kibana/bin/kibana --version最小安全配置（kibana.yml）
最小安全配置（kibana.yml）
server.host: '127.0.0.1' # 对外时置于反向代理并启用 TLS
server.port: 5601
elasticsearch.hosts: ['https://es01:9200']
elasticsearch.username: kibana_system
elasticsearch.password: <凭据>
# 新版本安全功能默认开启，需同时配置证书信任链常见故障对照
| 现象 | 常见原因 | 处置方向 |
|---|---|---|
| 页面打不开 | Kibana 进程未启动 | 查服务状态与启动日志 |
| 能打开但报后端错误 | ES 不可达或凭据失效 | 验证 9200 与 kibana 账号权限 |
| 登录后看不到索引 | 角色与索引模式未授权 | 按最小权限补齐角色与空间 |
| 证书告警 | 后端使用自签证书 | 配置信任链而不是关闭校验 |
访问收口：生产常把 5601 放在反向代理后启用统一认证，再用空间与角色做最小权限；无认证直接暴露的面板应优先整改，日志库里的敏感字段比系统本身更值钱。
运维账号不要直接用超级用户连接后端：一旦面板凭据泄漏，攻击者可越过面板直接读写整个集群的索引，影响范围会从“看日志”扩大到“改数据”。
运维建议
- 面板只监听回环，对外一律经反向代理并提供 TLS
- 为 Kibana 使用专用后端账号，权限限定到必要索引
- 开启审计与登录日志，关注异常登录来源
- 定期复核索引模式与空间授权，清理离职人员权限