Elastic Agent en production : bonnes pratiques

1. Sécurité #

Protéger les agents et les données.

Règles #

• TLS vérifié partout (Fleet Server, Elasticsearch, Logstash) ; jamais --insecure en production.
• Jetons d'enrôlement par politique, révoqués après le déploiement initial si inutiles.
• Secrets des intégrations dans les champs secrets de Fleet ; variables d'environnement en mode autonome.
• Protection contre la désinstallation sur les postes équipés d'Elastic Defend.

2. Organisation et volumes #

Rester lisible et maîtriser les coûts.

Règles #

• Une politique par rôle d'hôte, un namespace par environnement ou équipe, des tags pour les sélections (mises à jour, actions).
• Désactiver les flux inutiles d'une intégration (métriques par processus, logs de debug).
• Filtrer à la source (processeurs drop_event) ou dans le pipeline @custom.
• Politiques de cycle de vie (ILM) et rétention adaptées par data stream.

3. Exploitation #

Un parc fiable.

Règles #

• Au moins deux Fleet Server derrière un répartiteur de charge.
• Supervision des agents activée, alerte sur les agents hors ligne ou dégradés.
• Mises à jour par lots après la pile, sur un lot pilote d'abord.
• Politiques versionnées (export YAML, API Fleet ou Terraform) pour les reconstruire à l'identique.

# API Fleet : lister les agents hors ligne
curl -s -u elastic:$PASS "$KIBANA/api/fleet/agents?kuery=status:offline" -H 'kbn-xsrf: true' | jq '.items[].local_metadata.host.hostname'