启用VPC的Amazon OpenSearch控制台验证后重定向问题求助

根据你的描述，核心问题是Nginx代理后，OpenSearch Dashboards无法正确识别认证凭证，导致登录后API请求返回401。以下是针对性的排查和解决步骤：

1. 修正Nginx代理配置，确保认证头正确传递 #

默认Nginx不会自动转发Authorization请求头，这是导致后端无法获取凭证的常见原因。修改你的Nginx配置，添加必要的请求头转发：

location / {
    proxy_pass https://你的OpenSearch域VPC端点;
    # 转发主机头，确保后端识别请求来源
    proxy_set_header Host $host;
    # 转发真实客户端IP和代理链信息
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    # 关键：传递认证头到后端
    proxy_set_header Authorization $http_authorization;
    # 确保POST请求体和所有请求头都被转发
    proxy_pass_request_body on;
    proxy_pass_request_headers on;
    # 关闭Nginx自身的认证（如果之前开启过）
    # auth_basic off;
}

配置更新后，重启Nginx Deployment：

kubectl rollout restart deployment/你的nginx-deployment-name

2. 配置OpenSearch Dashboards的代理兼容设置 #

编辑OpenSearch Dashboards的opensearch_dashboards.yml配置（AWS托管的OpenSearch可通过域的「高级配置」修改），添加以下参数：

# 如果你通过代理的特定路径访问（比如/dashboards），设置对应的basePath
server.basePath: "/dashboards"
server.host: "0.0.0.0"
# 允许转发认证头到OpenSearch后端
opensearch.requestHeadersWhitelist: ["authorization", "content-type"]
# 开启X-Forwarded相关参数，让Dashboards识别代理后的请求
server.xforwarded: true
server.xforwardedFor: true
server.xforwardedPort: true
server.xforwardedProto: true

注意：opensearch.requestHeadersWhitelist必须包含authorization，否则Dashboards会过滤掉这个头，导致后端无法验证凭证。

3. 确认主用户的权限配置 #

虽然VPC内访问正常，但需确保主用户拥有OpenSearch Dashboards所需的完整权限：

• 给主用户分配内置的kibana_admin角色，该角色包含Dashboards操作的所有必要权限
• 如果使用自定义策略，需包含以下核心权限：
  • 集群级：cluster:monitor/nodes/info、cluster:monitor/health
  • 索引级：indices:data/read/*（根据业务需求调整）
  • Dashboards相关：所有kibana_*开头的权限

你可以通过AWS OpenSearch控制台的「安全」->「角色管理」或「用户管理」页面检查并调整权限。

4. 检查跨域（CORS）配置 #

如果浏览器端存在跨域限制，也可能导致认证头无法正确传递。在AWS OpenSearch控制台的「编辑域」->「高级安全」->「跨域资源共享 (CORS)」中：

• 允许的来源：填写你的Nginx代理外部访问域名（例如https://your-proxy-domain.com）
• 允许的头：添加Authorization、Content-Type
• 允许的方法：勾选GET、POST、PUT、DELETE、OPTIONS

5. 验证代理请求的凭证传递 #

在Nginx配置中添加详细日志，确认Authorization头是否被正确转发：

log_format proxy_log '$remote_addr - [$time_local] "$request" '
                    '$status "$http_authorization"';
access_log /var/log/nginx/proxy-access.log proxy_log;

查看日志，确认$http_authorization字段存在且格式正确（主用户密码认证为Basic Base64编码的用户名:密码）。

内容的提问来源于stack exchange，提问作者user24659592