docker部署es集群关键在系统调优、网络隔离、发现机制、资源与安全管控：需调优vm.max_map_count和禁用swap，创建自定义网络并用container_name实现节点发现，按角色拆分主/数据/协调节点，启用tls与xpack安全。
用 Docker 容器化部署高性能 Elasticsearch 集群，核心不是堆容器数量，而是让节点稳定发现、协同选举、安全通信，并能随业务弹性伸缩。关键在四点：系统调优、网络隔离、发现机制、资源与安全管控。
宿主机必须提前调优
ES 对内存映射和交换区极其敏感，未调优会导致容器反复退出：
- 执行 sudo sysctl -w vm.max_map_count=262144 并写入
/etc/sysctl.conf持久生效 - 运行 sudo swapoff -a，同时注释
/etc/fstab中所有 swap 行 - 确认 Docker 版本 ≥ 20.10，推荐 24.x 或更高；Linux 内核建议 ≥ 4.15
- 为每个节点分配独立数据目录（如
/data/es/node0），避免混用造成数据污染
用自定义网络+容器名实现可靠节点发现
Docker 默认桥接网络不支持服务名解析，必须显式创建专用网络并依赖容器名通信：
- 运行 docker network create es-cluster-net 创建隔离网络
- 在
docker-compose.yml中为每个节点指定container_name: es01（不能是 IP 或 localhost） -
discovery.seed_hosts值设为es01,es02,es03，顺序无关但必须与container_name完全一致 -
cluster.initial_master_nodes必须列出初始有资格当选主节点的node.name，例如["es01", "es02", "es03"]
合理编排节点角色与资源限制
三节点是最小高可用单元，建议按角色拆分而非全功能同构：
- 主节点（
node.roles: [master]）专注集群管理，不存数据，可降低内存配置 - 数据节点（
node.roles: [data, ingest]）承担索引与查询，需挂载独立卷、分配充足堆内存（如-Xms4g -Xmx4g） - 协调节点（
node.roles: [coordinating]）专收请求并分发，适合前置代理或高并发入口 - 所有节点启用
bootstrap.memory_lock: true和memlock: soft:-1 hard:-1锁定内存
生产环境必须启用 TLS 与 xpack 安全
ES 8.x 默认强制启用安全功能，集群内传输加密不可跳过：
- 用
elasticsearch-certutil在 setup 容器中生成 CA 和各节点证书，输出到certs/目录 - 将
certs/挂载至所有节点的/usr/share/elasticsearch/config/certs - 在
elasticsearch.yml中开启：xpack.security.enabled: true和xpack.security.transport.ssl.enabled: true - 密码通过
.env文件注入（如ELASTIC_PASSWORD=MyPass2026!），禁止硬编码进配置或镜像
