ELK 7.17.10 LDAP登录失败：bind_dn无密码错误排查

一、确认Elasticsearch LDAP Realm配置有效性 #

• 检查ES节点的elasticsearch.yml，确保LDAP realm配置完整且语法正确，核心配置示例：

  xpack.security.authc.realms.ldap.ldap1:
    order: 2
    url: "ldaps://ldap"
    bind_dn: "uid=elk-bind,dc=your-domain,dc=com" # 必须填写完整的绑定DN，不能仅写uid部分
    secure_bind_password: "${ELASTICSEARCH_LDAP_BIND_PASSWORD}"
    user_search:
      base_dn: "dc=your-domain,dc=com"
      filter: "(uid={0})"
    group_search:
      base_dn: "dc=your-domain,dc=com"
    files.role_mapping: "/usr/share/elasticsearch/config/role_mapping.yml"
    unmapped_groups_as_roles: false
  

• 进入ES Pod执行elasticsearch-keystore show secure_bind_password，确认密码已正确注入密钥库且值符合预期。
• 查看ES启动日志，搜索关键字realm，确认LDAP realm是否成功初始化——若出现Failed to initialize realm [ldap1]，说明配置存在语法错误或权限问题。

二、解决"Simple bind operations are not allowed to contain a bind DN without a password"报错 #

该错误本质是ES初始化LDAP realm时，未读取到绑定密码，排查方向：

• 调整密码注入时机：postStart钩子是在Pod启动后执行，若ES已完成realm初始化，密码注入会滞后。改用initContainer提前注入密钥：

  initContainers:
    - name: inject-ldap-password
      image: docker.elastic.co/elasticsearch/elasticsearch:7.17.10
      command:
        - sh
        - -c
        - |
          echo "${LDAP_BIND_PASSWORD}" | elasticsearch-keystore add --stdin secure_bind_password
          chown elasticsearch:elasticsearch /usr/share/elasticsearch/config/elasticsearch.keystore
      volumeMounts:
        - name: es-config
          mountPath: /usr/share/elasticsearch/config
      env:
        - name: LDAP_BIND_PASSWORD
          valueFrom:
            secretKeyRef:
              name: ldap-secrets
              key: bind-password
  

• 检查密钥库文件权限：ES Pod中elasticsearch.keystore的所有者必须是elasticsearch用户，执行ls -l /usr/share/elasticsearch/config/elasticsearch.keystore确认，若权限不符，在注入命令后添加chown修正。

三、修复Kibana Security菜单无LDAP配置项问题 #

• Kibana 7.17默认不会在UI显示LDAP配置，需修改kibana.yml开启身份提供者配置：

  xpack.security.authc.providers:
    ldap.ldap1:
      order: 0
      realm: ldap1 # 必须与ES中LDAP realm的名称完全一致
    basic.basic1:
      order: 1
  

• 重启Kibana Pod后，登录elastic用户，进入Stack Management > Security > Identity Providers，即可看到LDAP配置项，验证其与ES侧配置的一致性。

四、端到端验证LDAP绑定流程 #

• 在ES Pod中直接测试LDAP服务器连通性与绑定权限：

  ldapsearch -H ldaps://ldap -D "uid=elk-bind,dc=your-domain,dc=com" -w <绑定密码> -b "dc=your-domain,dc=com" "(uid=nklbobbyb)"
  

  若能返回用户条目，说明ES到LDAP的网络、绑定DN及密码均正常；若失败，排查LDAP服务器是否允许elk-bind用户搜索用户条目，或ES是否信任LDAPS的证书（自签证书需导入ES信任库）。

内容的提问来源于stack exchange，提问作者AKS