security_exception: security_exception: unable to authenticate / action [...] is unauthorized for user [...] (HTTP 401/403) (authentification ou autorisation refusée)

Que signifie cette erreur ?

L'authentification (401 Unauthorized) ou l'autorisation (403 Forbidden) a échoué. 401 indique des identifiants absents/incorrects ; 403 indique que l'utilisateur est authentifié mais ne dispose pas du rôle/privilège requis pour cette action/cet index.

Cause

Nom d'utilisateur/mot de passe ou clé API erronés, en-tête Authorization manquant, jeton expiré/invalide, utilisateur sans le privilège d'index ou de cluster concerné, ou attribution de rôle absente/incorrecte.

Comment la corriger

Pour 401 : envoyez les bons identifiants/la bonne clé API et vérifiez l'en-tête Authorization. Pour 403 : inspectez les rôles et privilèges de l'utilisateur (GET _security/user/app_user, GET _security/role/app_role) et ajoutez les privilèges d'index/de cluster requis. Appliquez le principe du moindre privilège. Si vous utilisez une clé API, vérifiez son expiration et ses autorisations.