security_exception: security_exception: unable to authenticate / action [...] is unauthorized for user [...] (HTTP 401/403) (Authentifizierung/Autorisierung fehlgeschlagen)

Was bedeutet das?

Authentifizierung (401 Unauthorized) oder Autorisierung (403 Forbidden) ist fehlgeschlagen. 401 weist auf fehlende/falsche Zugangsdaten hin; 403 bedeutet, dass der Benutzer authentifiziert ist, ihm aber die nötige Rolle/Berechtigung für diese Aktion bzw. diesen Index fehlt.

Ursache

Falscher Benutzername/falsches Passwort oder API Key, ein fehlender Authorization-Header, ein abgelaufenes/ungültiges Token, dem Benutzer fehlt die betreffende Index- oder Cluster-Berechtigung oder eine fehlende/falsche Rollenzuweisung.

Lösung

Bei 401: Sende die richtigen Zugangsdaten/den richtigen API Key und prüfe den Authorization-Header. Bei 403: Untersuche Rollen und Berechtigungen des Benutzers (GET _security/user/app_user, GET _security/role/app_role) und ergänze die nötigen Index-/Cluster-Berechtigungen. Folge dem Least-Privilege-Prinzip. Nutzt du einen API Key, prüfe dessen Ablaufdatum und Berechtigungen.