在Kubernetes中部署OpenSearch集群时遭遇9200端口连接拒绝及Pod启动失败问题求助

看起来你碰到了一串连锁问题，从存储配置到容器权限、节点初始化都有状况，咱们一步步拆解修复：

一、先搞定存储的潜在隐患 #

你手动创建的hostPath类型PV有几个明显的问题：

• 所有PV都指向同一个节点的/data路径：hostPath是节点本地存储，三个PV共用同一路径的话，如果Pod被调度到不同节点，直接就找不到数据目录；就算在同一个节点，多个Pod共享目录也会引发权限冲突和数据混乱。
• 目录权限没配置到位：OpenSearch镜像默认用UID为1000的用户运行，但你节点上的/data目录大概率是root权限，容器根本没法写入。
• StorageClass匹配不规范：Helm自动创建的PVC没指定storageClassName，你手动给PV加了storageClassName: manual，虽然暂时绑定成功，但后续扩容、加节点都会出问题。

修复建议： #

• 测试环境快速修复：给每个集群节点创建独立的目录并设置权限：

  # 在每个EC2节点上执行
  sudo mkdir -p /data/opensearch/master-0
  sudo chown -R 1000:1000 /data/opensearch/master-0
  

  然后修改对应PV的hostPath为/data/opensearch/master-0，同时给PV加上nodeAffinity，确保Pod只会调度到有这个目录的节点上。
• 生产环境规范方案：用AWS EBS存储类，自动动态生成PV，完全不用手动创建：
  先创建EBS StorageClass：

  apiVersion: storage.k8s.io/v1
  kind: StorageClass
  metadata:
    name: ebs-opensearch-sc
  provisioner: ebs.csi.aws.com
  parameters:
    type: gp3
  reclaimPolicy: Retain
  volumeBindingMode: WaitForFirstConsumer
  

  安装Helm时指定这个存储类：--set persistence.storageClass=ebs-opensearch-sc。

二、解决容器权限问题 #

从Pod日志里的tee: /usr/share/opensearch/config/opensearch.yml: Permission denied一眼就能看出，容器没权限修改配置文件，还有日志里提到的配置目录、文件权限不安全的警告，都是权限问题导致的。

修复步骤： #

• 检查Helm的values配置，确保正确设置了安全上下文：

  securityContext:
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 1000
  

• 已经安装的话，直接升级应用配置：

  helm upgrade opensearch-cluster opensearch/opensearch -n open-search \
    --set securityContext.runAsUser=1000 \
    --set securityContext.runAsGroup=1000 \
    --set securityContext.fsGroup=1000
  

• 还可以加个初始化容器自动修复配置文件权限：

  extraInitContainers:
    - name: fix-config-perms
      image: busybox:1.36
      command: ["sh", "-c", "chmod 0700 /usr/share/opensearch/config && chmod 0600 /usr/share/opensearch/config/opensearch.yml"]
      volumeMounts:
        - name: config
          mountPath: /usr/share/opensearch/config
  

三、调整JVM内存配置 #

看你Pod日志里的JVM参数，-Xmx512M -Xms512M这内存太小了！OpenSearch是内存密集型应用，你的EC2实例（t2.2large/xlarge）足够分配至少2G堆内存，内存不够直接会导致节点启动失败或者崩溃。

修复方法： #

• 安装/升级时指定JVM参数：

  helm upgrade opensearch-cluster opensearch/opensearch -n open-search \
    --set opensearchJavaOpts="-Xms2g -Xmx2g"
  

四、关于9200端口连接拒绝的疑问 #

这个问题其实是前面所有问题的连锁反应：容器因为权限、内存问题根本没正常启动OpenSearch服务，所以9200端口根本没监听，探针自然连不上。

另外你提到的Service ClusterIP和Pod IP的差异是正常的：启动探针是直接访问Pod自身的IP（10.1.0.18）的9200端口，而不是通过Service的ClusterIP，所以不用纠结这个差异。

五、重新部署的完整步骤 #

1. 先清理现有资源：

   helm uninstall opensearch-cluster -n open-search
   kubectl delete pv -n open-search --all
   kubectl delete pvc -n open-search --all
   

2. 创建合适的StorageClass（EBS用于生产，hostPath用于测试）。
3. 用正确配置重新安装：

   helm install opensearch-cluster opensearch/opensearch -n open-search --create-namespace \
     --set persistence.storageClass=ebs-opensearch-sc \
     --set opensearchJavaOpts="-Xms2g -Xmx2g" \
     --set securityContext.runAsUser=1000 \
     --set securityContext.runAsGroup=1000 \
     --set securityContext.fsGroup=1000
   

备注：内容来源于stack exchange，提问作者arjunbnair