Elasticsearch 8.5.x启用Xpack时.security-7分片不可用问题求助

关于Xpack依赖.security-7索引的原因 #

.security-7是Elasticsearch Xpack安全模块的核心存储索引，所有用户账号、密码哈希、角色权限、API密钥等安全配置数据都持久化在这里。当Xpack安全功能启用时，ES节点启动过程中必须加载该索引的主分片来初始化安全体系、验证身份规则，否则无法完成启动流程，这就是你遇到启动报错的根本原因。

修复步骤（针对Bitnami Kubernetes部署） #

1. 备份.security-7索引（当前集群已禁用Xpack且状态绿色） #

• 进入运行中的ES Master Pod：

  kubectl exec -it <你的ES Master Pod名称> -- bash
  

• 创建本地快照仓库并备份索引：

  # 创建临时快照仓库
  curl -X PUT "localhost:9200/_snapshot/security_backup_repo" -H 'Content-Type: application/json' -d'
  {
    "type": "fs",
    "settings": {
      "location": "/tmp/security_backup",
      "compress": true
    }
  }'
  # 备份.security-7索引
  curl -X PUT "localhost:9200/_snapshot/security_backup_repo/security_index_backup?wait_for_completion=true" -H 'Content-Type: application/json' -d'
  {
    "indices": ".security-7"
  }'
  

2. 临时修改ES配置，让Master节点单节点启动并加载安全模块 #

• 编辑ES的ConfigMap：

  kubectl edit configmap <你的ES ConfigMap名称>
  

• 在elasticsearch.yml配置块中修改以下参数：

  xpack.security.enabled: true
  xpack.security.enrollment.enabled: false
  # 临时启用单节点模式，注释掉原有集群发现配置
  discovery.type: single-node
  # discovery.seed_hosts: ... （注释掉这行）
  # cluster.initial_master_nodes: ... （注释掉这行）
  

• 重启Master节点StatefulSet：

  kubectl rollout restart statefulset <你的ES Master StatefulSet名称>
  

3. 重置Elastic用户密码 #

• 待Master节点启动成功后，再次进入Pod：

  kubectl exec -it <重启后的ES Master Pod名称> -- bash
  

• 执行密码重置命令：

  /opt/bitnami/elasticsearch/bin/elasticsearch-reset-password -u elastic -i
  

• 按照提示输入并确认新密码。

4. 恢复集群原有配置 #

• 再次编辑ConfigMap，恢复集群发现配置，移除单节点模式：

  xpack.security.enabled: true
  xpack.security.enrollment.enabled: false
  # 恢复原有集群配置
  discovery.type: （删除这行）
  discovery.seed_hosts: <原有配置值>
  cluster.initial_master_nodes: <原有配置值>
  

• 重启Master和Data节点：

  kubectl rollout restart statefulset <你的ES Master StatefulSet名称>
  kubectl rollout restart statefulset <你的ES Data StatefulSet名称>
  

5. 验证修复效果 #

• 进入Master Pod，验证集群健康状态：

  curl -u elastic:<新设置的密码> localhost:9200/_cluster/health?pretty
  

• 验证安全模块正常运行：

  curl -u elastic:<新设置的密码> localhost:9200/_security/user/elastic?pretty
  

内容的提问来源于stack exchange，提问作者CompEng