ElasticSearch配置S3快照仓库报错，allow_insecure_settings设置无效求助

你遇到的错误是因为Elasticsearch默认禁止在仓库配置中明文存储access_key和secret_key这类敏感信息，结合你使用X-Pack的情况，给你两种解决方案，推荐第二种更安全的合规方式：

方案一：正确启用allow_insecure_settings（快速临时测试用） #

如果只是临时测试需要明文配置密钥，要确保配置在所有节点上生效：

• 在每个Elasticsearch节点的elasticsearch.yml配置文件中添加：

  allow_insecure_settings: ["access_key", "secret_key"]
  

• 保存配置后，重启所有Elasticsearch节点（这个配置必须重启才会生效，你之前可能没重启节点导致配置未生效）
• 重新执行你原来的PUT请求创建仓库

方案二：使用Elasticsearch密钥库存储密钥（推荐，安全合规） #

因为你使用了X-Pack，更安全的方式是把S3密钥存储到Elasticsearch的安全密钥库中，避免明文暴露：

1. 在每个Elasticsearch节点上执行以下命令，将密钥添加到密钥库：

   # 添加S3访问密钥
   ./bin/elasticsearch-keystore add s3.client.default.access_key
   # 添加S3密钥
   ./bin/elasticsearch-keystore add s3.client.default.secret_key
   

   执行命令时会提示你输入对应的密钥，输入后不会明文显示。
2. 重启所有Elasticsearch节点，让密钥库的配置生效。
3. 修改仓库创建请求，移除明文的access_key和secret_key字段：

   PUT http://<username>:<password>@<elasticsearch-instance-ip>:9200/_snapshot/s3_repository?verify=false
   {
     "type": "s3",
     "settings": {
       "bucket": "bucket-name",
       "region": "eu-west-1"
     }
   }
   

   Elasticsearch会自动从密钥库中读取对应的S3密钥。

额外注意事项 #

• 如果你需要配置多个不同的S3客户端，可以指定客户端名称，比如添加密钥时用s3.client.my_custom_client.access_key，然后在仓库配置中加上"client": "my_custom_client"。
• 确保你的S3桶对应的IAM用户拥有必要的权限：至少需要s3:ListBucket、s3:GetObject、s3:PutObject、s3:DeleteObject这些权限，否则即使密钥正确也无法正常操作快照。

内容的提问来源于stack exchange，提问作者zubair1024