配置Elasticsearch匿名访问后集群异常，配置是否正确？

我在Elasticsearch中创建了拥有/_cluster/health访问权限的gce_healthcheck_role角色，并在Kubernetes的Elasticsearch YAML配置文件中配置该角色以启用匿名访问，但Elasticsearch无法正常运行（移除该配置后恢复正常）。请问我的YAML配置是否正确？

创建角色的请求 #

POST http://{{ES_HOST}}/_security/role/gce_healthcheck_role

{
  "cluster": [ "monitor" ]
}

Kubernetes Elasticsearch配置文件 #

apiVersion: elasticsearch.k8s.elastic.co/v1
kind: Elasticsearch
metadata:
  name: xyz
spec:
  version: 8.6.2
  nodeSets:
  - name: default
    count: 1
    config:
      node.store.allow_mmap: false
      xpack.security.authc:
        anonymous:
          username: _es_anonymous_user
          roles: gce_healthcheck_role
          authz_exception: true
  http:
    service:
      spec:
        type: LoadBalancer
    tls:
      selfSignedCertificate:
        disabled: true

配置问题分析及修正 #

你的YAML配置有几个问题，直接导致了Elasticsearch启动失败：

1. ECK Operator配置逻辑冲突
   使用Elastic Cloud on Kubernetes (ECK) Operator时，不能直接在spec.nodeSets.config下写入xpack.security.authc.anonymous这类安全配置——Operator会自动管理集群的安全初始化流程，手动插入的配置会干扰原有逻辑，引发启动异常。

2. 正确的匿名访问配置方式
   需通过ECK专属的security字段配置匿名访问，而非直接修改xpack参数。修正后的配置如下：

   apiVersion: elasticsearch.k8s.elastic.co/v1
   kind: Elasticsearch
   metadata:
     name: xyz
   spec:
     version: 8.6.2
     security:
       authc:
         anonymous:
           enabled: true
           roles: ["gce_healthcheck_role"]
           username: "_es_anonymous_user"
     nodeSets:
     - name: default
       count: 1
       config:
         node.store.allow_mmap: false
     http:
       service:
         spec:
           type: LoadBalancer
       tls:
         selfSignedCertificate:
           disabled: true
   

   另外，authz_exception: true无需额外配置，ECK会自动处理权限异常的返回逻辑。

3. 额外排查步骤

   • 确认gce_healthcheck_role创建成功：执行curl -XGET http://{{ES_HOST}}/_security/role/gce_healthcheck_role，确保返回的角色配置包含monitor集群权限。
   • 查看Pod启动日志：执行kubectl logs -f <你的ES Pod名称>，日志会明确显示启动失败的具体原因，比如权限冲突、配置格式错误等。

内容的提问来源于stack exchange，提问作者WenHao