Kubernetes环境下Elasticsearch从7.12.0升级到7.17.10认证失败求助

核心错误分析 #

日志中的failed to retrieve password hash for reserved user [elastic]表明节点无法从Elasticsearch的安全存储（.security-7索引）中读取elastic用户的密码哈希，导致ReservedRealm认证失败。以下是针对性排查和解决步骤：

1. 验证安全索引状态 #

首先确认集群的.security-7索引是否存在且状态正常：

# 替换为可用的认证用户和节点地址
curl -k -u <其他有效用户名>:<密码> https://<节点IP>:9200/_cat/indices/.security-7?v

• 如果索引不存在：说明升级过程中安全索引未被正确迁移，需检查数据目录是否正确挂载，或从备份恢复.security-7索引。
• 如果索引状态为red：排查集群分片分配问题，确保主节点正常运行且数据目录权限正确。

2. 检查容器存储卷权限与挂载 #

如果是容器化部署（Docker/K8s）：

• 确认Elasticsearch数据目录（/usr/share/elasticsearch/data）挂载到了持久化存储，且目录权限为1000:1000（Elasticsearch镜像默认用户UID/GID）。
• 升级镜像后，新容器是否能正常读写数据目录？可进入容器执行ls -ld /usr/share/elasticsearch/data验证权限。

3. 临时禁用OIDC Realm测试 #

你的配置中OIDC Realm的rp.client_id为空，虽然7.12版本可正常运行，但7.17版本可能对空值有更严格的校验。临时注释OIDC配置：

xpack:
  security:
    authc: 
      realms:
        native:
          native1:
            order: 0
        # 注释掉OIDC配置段
        # oidc:
        #   oidc1:
        #     rp.client_id: ""
        #     ... 其余OIDC配置

重启节点后测试elastic用户认证，若恢复正常，需修正OIDC配置（填充合法的rp.client_id）后重新启用。

4. 重置elastic用户密码 #

若安全索引正常但密码哈希无法读取，可重置elastic密码：

# 进入Elasticsearch容器
docker exec -it <容器名称> /bin/bash
# 执行密码重置命令
bin/elasticsearch-reset-password -u elastic

按照提示设置新密码后，测试认证是否正常。

5. 规范配置细节 #

注意到reindex.remote.whitelist的写法使用了反引号，建议修改为YAML标准格式：

reindex.remote.whitelist: "****, *****"

该调整虽不直接解决认证问题，但可避免潜在的配置解析异常。

内容的提问来源于stack exchange，提问作者teamdever