在Kubernetes部署ELK集群时遭遇权限错误求助

你好！看你在Kubernetes上部署Elasticsearch集群时碰到了权限报错，这个问题在ECK（Elastic Cloud on Kubernetes）部署场景里挺常见的，我给你几个排查和解决的方向：

首先先明确你遇到的错误信息：

Defaulted container "elasticsearch" out of: elasticsearch,
elastic-internal-init-filesystem (init), elastic-internal-suspend
(init) java.nio.file.AccessDeniedException:
/usr/share/elasticsearch/data at
java.base/sun.nio.fs.UnixException.translateToIOException(UnixException.java:90)
at
java.base/sun.nio.fs.UnixException.asIOException(UnixException.java:115)
at
java.base/sun.nio.fs.UnixFileSystemProvider.newDirectoryStream(UnixFileSystemProvider.java:477)
at java.base/java.nio.file.Files.newDirectoryStream(Files.java:481) at
java.base/java.nio.file.Files.list(Files.java:3777) at
org.elasticsearch.xpack.security.cli.AutoConfigureNode.isDirEmpty(AutoConfigureNode.java:1151)
at
org.elasticsearch.xpack.security.cli.AutoConfigureNode.execute(AutoConfigureNo...

这个报错的核心是Elasticsearch容器内的进程没有权限访问/usr/share/elasticsearch/data目录，下面是具体的解决思路：

• 检查数据卷的权限配置
  Elasticsearch容器默认用UID/GID为1000的用户运行，所以要确保你的PersistentVolume（PV）对应的存储目录权限是1000:1000。如果是宿主路径存储，可以直接在节点上执行命令调整：

  chown -R 1000:1000 /path/to/your/es/data/dir
  

• 在ECK的CR配置中添加安全上下文
  可以直接在Elasticsearch的自定义资源（CR）里配置安全上下文，让Kubernetes自动处理数据卷权限。示例配置如下：

  apiVersion: elasticsearch.k8s.elastic.co/v1
  kind: Elasticsearch
  metadata:
    name: your-es-cluster
  spec:
    version: 8.11.3
    nodeSets:
    - name: default
      count: 3
      podTemplate:
        spec:
          containers:
          - name: elasticsearch
            securityContext:
              runAsUser: 1000
              runAsGroup: 1000
              fsGroup: 1000
      volumeClaimTemplates:
      - metadata:
          name: elasticsearch-data
        spec:
          accessModes:
          - ReadWriteOnce
          resources:
            requests:
              storage: 10Gi
  

  这里的fsGroup会让Kubernetes自动调整数据卷的权限，保证GID 1000的用户组拥有读写权限。

• 检查初始化容器的运行日志
  错误信息里提到了elastic-internal-init-filesystem这个初始化容器，它的职责就是初始化数据目录的权限。你可以查看这个容器的日志，确认它是否正常执行：

  kubectl logs <你的ES Pod名称> -c elastic-internal-init-filesystem
  

  如果初始化容器执行失败，也会导致后续Elasticsearch进程无法访问目录。

• 清理旧PVC数据（谨慎操作）
  如果之前的部署留下了权限错误的旧数据，你可以删除对应的PVC和PV（注意会丢失数据，仅适合测试环境或无数据场景），然后重新部署集群，让ECK重新初始化权限正确的数据目录。

备注：内容来源于stack exchange，提问作者Anisha goyal