Docker部署Elasticsearch 8.X无安全模式时密钥存储创建失败求助

问题成因 #

Elasticsearch 8.X启动流程相比7.X做了调整：即便禁用xpack.security，也会尝试初始化或更新elasticsearch.keystore，但官方Docker镜像中/usr/share/elasticsearch/config目录默认属于root用户，而容器实际以uid为1000的elasticsearch用户运行，该用户对config目录没有写入权限，因此触发创建临时keystore的权限错误。7.X版本无此强制初始化逻辑，所以相同命令可以正常运行。

解决方案（测试环境适用） #

方法1：以root用户运行容器（最简单的测试方案） #

直接在启动命令中添加--user root参数，让容器以root权限运行，绕过目录权限限制：

docker run --user root -p 9200:9200 -e "discovery.type=single-node" -e "xpack.security.enabled=false" -e "ES_JAVA_OPTS=-Xms512m -Xmx512m" elastic/elasticsearch:8.11.3

方法2：挂载预创建的空keystore文件 #

提前在本地生成符合权限要求的keystore文件，再挂载到容器中：

1. 本地执行以下命令生成空keystore并设置权限：

touch elasticsearch.keystore
chmod 660 elasticsearch.keystore
chown 1000:1000 elasticsearch.keystore

2. 启动容器时挂载该文件：

docker run -p 9200:9200 -v $(pwd)/elasticsearch.keystore:/usr/share/elasticsearch/config/elasticsearch.keystore -e "discovery.type=single-node" -e "xpack.security.enabled=false" -e "ES_JAVA_OPTS=-Xms512m -Xmx512m" elastic/elasticsearch:8.11.3

方法3：挂载本地config目录（更规范的方式） #

创建本地config目录并设置正确权限，挂载到容器的config目录，让elasticsearch用户拥有写入权限：

1. 本地创建目录并设置权限：

mkdir config
chown 1000:1000 config

2. 启动容器时挂载该目录：

docker run -p 9200:9200 -v $(pwd)/config:/usr/share/elasticsearch/config -e "discovery.type=single-node" -e "xpack.security.enabled=false" -e "ES_JAVA_OPTS=-Xms512m -Xmx512m" elastic/elasticsearch:8.11.3

内容的提问来源于stack exchange，提问作者lucaschn