Docker环境下Logstash连接Elasticsearch报401错误求助

针对你遇到的Logstash licensechecker模块401认证错误问题，可按以下步骤排查解决：

1. 全局配置Logstash的Elasticsearch认证信息 #

licensechecker模块依赖Logstash全局的Elasticsearch连接配置，而非仅output块的配置。需在logstash.yml中添加完整的认证及连接参数：

# 启用监控（licensechecker依赖此模块的连接配置）
xpack.monitoring.enabled: true
# Elasticsearch服务地址（对应Docker服务名）
xpack.monitoring.elasticsearch.hosts: ["http://elasticsearch:9200"]
# 认证用户名
xpack.monitoring.elasticsearch.username: "elastic"
# 认证密码
xpack.monitoring.elasticsearch.password: "your_elastic_password"
# 若未启用SSL，关闭SSL验证
xpack.monitoring.elasticsearch.ssl.enabled: false

2. 验证用户权限（若使用非elastic用户） #

如果Logstash使用自定义用户而非elastic，需确保该用户拥有读取Elasticsearch许可证的权限。在Elasticsearch容器中执行以下命令分配权限：

curl -u elastic:your_elastic_password -XPOST "http://localhost:9200/_security/user/logstash_user/_privileges" -H "Content-Type: application/json" -d'
{
  "cluster": ["monitor"],
  "indices": [
    {
      "names": ["*"],
      "privileges": ["write", "create_index", "read"]
    }
  ]
}'

注：logstash_user替换为你的自定义用户名。

3. 验证Docker网络连通性与基础认证 #

在Logstash容器内执行以下命令，直接测试与Elasticsearch的连通性及认证有效性：

# 测试服务名解析
ping elasticsearch
# 测试许可证信息获取（替换密码）
curl -u elastic:your_elastic_password http://elasticsearch:9200/_license

若curl命令返回许可证JSON数据，说明网络和认证无问题；若仍报401，检查密码是否正确、ES的xpack.security是否正确启用。

4. 确认Elasticsearch的xpack配置 #

确保Elasticsearch的elasticsearch.yml中已正确启用安全模块：

xpack.security.enabled: true
# 单节点集群状态yellow属于正常（无副本分片），可忽略

5. 重启Logstash容器使配置生效 #

修改logstash.yml后，需重启Logstash容器，确保新配置加载：

docker-compose restart logstash

内容的提问来源于stack exchange，提问作者MajesticOl