Kibana 6.8执行_delete_by_query报403权限错误求助

你遇到的这个cluster_block_exception错误（原因FORBIDDEN/8/index write (api)），本质是目标索引被设置了写入阻塞，或者执行操作的用户没有足够的写入/删除权限。下面分两种场景给你具体的解决步骤：

场景1：索引被手动设置了写入阻塞 #

首先验证索引是否开启了写入阻塞：

# 在Kibana Dev Tools或者curl执行
GET /my_index/_settings

如果返回的结果里包含"index.blocks.write": true，说明索引被禁止写入/删除操作。

解除这个阻塞：

# Kibana Dev Tools执行
PUT /my_index/_settings
{
  "index.blocks.write": false
}

# 或者用curl
curl -XPUT "http://localhost:9200/my_index/_settings" -H 'Content-Type: application/json' -d'
{
  "index.blocks.write": false
}'

场景2：用户权限不足（开启了X-Pack安全） #

如果你启用了Elasticsearch的X-Pack安全功能，执行_delete_by_query需要两个核心权限：

• 对目标索引的read权限（因为要先查询匹配的文档）
• 对目标索引的delete权限（执行删除操作）

配置权限的步骤： #

1. 登录Kibana，进入Management -> Security -> Roles
2. 找到你当前使用的用户对应的角色（或者创建一个新角色）
3. 在Indices区域，添加目标索引my_index（或者用通配符如my_*）
4. 在权限列表中勾选Read和Delete，保存角色配置
5. 确保你的用户已经关联了这个角色，重新登录后再执行删除命令

验证操作 #

完成上述配置后，重新执行你的_delete_by_query命令：

curl -XPOST "http://localhost:9200/my_index/_delete_by_query" -H 'Content-Type: application/json' -d'
{
  "query": { "match_all": {} }
}'

如果配置正确，应该会返回deleted: 2（对应你之前的total数量），不再出现403错误。

额外注意事项 #

• 遵循最小权限原则：不要给用户超过必要的权限（比如不要随便给manage或all权限）
• 生产环境操作前，建议先备份目标索引的数据，避免误删
• 如果是集群级别的写入阻塞（错误信息会包含cluster而不是index），需要修改集群设置：PUT /_cluster/settings { "persistent": { "cluster.blocks.write": false } }

内容的提问来源于stack exchange，提问作者Obi-Wan-Clemobi