K8s部署Elasticsearch与Kibana后安全认证失败致服务未就绪

针对你在K8s中开启Elasticsearch X-Pack安全后遇到的Kibana就绪失败问题，结合日志中的域名解析错误、认证凭证缺失提示，以及Pod内curl可正常访问ES的现象，按以下步骤排查：

1. 确认Kibana配置加载优先级冲突 #

Kibana的配置加载顺序中，kibana.yml的优先级高于环境变量。即便你在部署文件中配置了ELASTIC_USERNAME、ELASTIC_PASSWORD、ELASTICSEARCH_URL，如果kibana.yml中存在旧的ES地址、未配置认证参数，就会覆盖环境变量导致连接失败。

• 操作：
  • 进入Kibana Pod，查看/usr/share/kibana/config/kibana.yml，确认elasticsearch.hosts、elasticsearch.username、elasticsearch.password参数是否与你预期一致。
  • 若依赖环境变量生效，需确保kibana.yml中没有上述参数；或直接通过ConfigMap挂载正确配置的kibana.yml到Pod中。

2. 排查Kibana进程的DNS解析异常 #

你手动curl能访问ES，但Kibana进程出现getaddrinfo ENOTFOUND elasticsearch，说明进程层面的DNS配置存在问题：

• 可能原因：Kibana启动进程未继承Pod的DNS配置，或是镜像启动逻辑修改了resolv.conf。
• 操作：
  1. 进入Kibana Pod，对比/etc/resolv.conf与curl时的DNS配置（检查nameserver、search域是否正确指向K8s集群DNS）。
  2. 确认Kibana部署的dnsPolicy配置（默认应为ClusterFirst，若被修改需改回）。
  3. 核对ELASTICSEARCH_URL中的ES服务域名，确保与K8s中ES Service的名称完全一致（注意大小写）。

3. 补充X-Pack安全的必要配置 #

开启X-Pack安全后，除基础用户名密码外，还需满足：

• 若ES启用了TLS加密，Kibana必须信任ES的CA证书：
  • 操作：将ES的CA证书通过Secret挂载到Kibana Pod，在kibana.yml中添加elasticsearch.ssl.certificateAuthorities: ["/path/to/ca.crt"]。
• 确认ES已执行elasticsearch-setup-passwords生成内置用户密码，且Kibana使用的elastic用户密码正确有效。

4. 检查Pod权限与文件访问 #

Kibana进程可能因权限不足，无法读取配置文件或证书：

• 操作：
  • 查看Kibana Pod的运行用户，确保配置文件、证书文件的权限为644，且所属组与进程组匹配。
  • 在部署文件中添加securityContext确保权限：

    securityContext:
      runAsUser: 1000
      runAsGroup: 1000
      fsGroup: 1000
    

5. 强制刷新配置与重启Pod #

配置修改后，Kibana可能因缓存未更新导致失效：

• 操作：
  • 执行kubectl rollout restart deployment kibana强制重启部署，确保新配置加载。
  • 删除现有Kibana Pod，让K8s重新创建实例。

验证流程 #

完成上述操作后，按以下步骤验证：

1. 查看Kibana Pod日志，确认无ENOTFOUND、认证失败等错误。
2. 访问Kibana服务，检查是否正常显示登录界面。
3. 在Kibana Pod内执行curl -u elastic:<你的密码> http://elasticsearch:9200，确认ES连接正常。

内容的提问来源于stack exchange，提问作者user19238163