开启安全认证后 Kibana 无法登录，通常是因为 Elasticsearch 内部账号密码未初始化，或 Kibana 配置文件未填入正确的连接凭证及 SSL 配置。优先重置 elastic 超级用户密码，配置 kibana.yml 连接信息及证书路径，建议使用 Keystore 管理敏感信息。

命令速用版

如果你需要快速重置密码并配置 Kibana，可在 Elasticsearch 和 Kibana 安装目录下执行以下命令：

1. 重置 ES 密码（8.x）：

bin/elasticsearch-reset-password -u elastic

2. 将密码存入 Kibana Keystore（推荐）：

bin/elasticsearch-keystore add elasticsearch.password

3. 若使用配置文件明文（仅测试环境）：

elasticsearch.username: "elastic"
elasticsearch.password: "你设置的密码"

为什么会这样

默认情况下 Elasticsearch 允许匿名访问，开启 xpack 安全认证后，所有请求都需要身份验证。Kibana 作为一个客户端，必须使用合法账号连接 Elasticsearch 才能获取数据；同时浏览器访问 Kibana 页面时，也需要输入账号密码进行登录。如果中间任一环节凭证缺失、不匹配或 SSL 证书未信任，都会导致无法登录。

分步处理

1. 重置 Elasticsearch 超级用户密码

在 Elasticsearch 服务器终端进入安装目录。7.x 及更早版本通常使用 setup-passwords 工具，8.x 版本推荐使用 reset-password 工具。执行后按提示输入新密码，注意复杂度要求（至少 6 位，包含字母数字）。

2. 配置 Kibana 连接凭证与 SSL

打开 Kibana 安装目录下的 config/kibana.yml。8.x 版本默认强制 HTTPS，需配置 elasticsearch.hosts 为 https 开头，并指定 elasticsearch.ssl.certificateAuthorities 证书路径。

确保以下配置项已取消注释并填入正确信息（路径需根据实际安装位置调整）：

elasticsearch.hosts: ["https://localhost:9200"]
elasticsearch.username: "elastic"
elasticsearch.ssl.certificateAuthorities: [ "/path/to/elasticsearch/config/certs/ca.crt" ]

安全建议：生产环境不建议在 kibana.yml 明文存储密码。请使用 Kibana 自带的 keystore 工具：

bin/elasticsearch-keystore add elasticsearch.password
# 按提示输入密码，输入时无回显

配置 keystore 后，kibana.yml 中无需再写 elasticsearch.password 字段，keystore 中的值优先级更高。

3. 重启服务

先重启 Elasticsearch 确保证书和密码生效，再重启 Kibana 服务。务必等 Elasticsearch 完全启动后再启动 Kibana，否则 Kibana 会因连接失败而启动异常。

4. 创建业务账号（可选）

建议不要长期使用 elastic 超级用户，可通过 API 创建具有特定权限的新用户。例如创建一个名为 dev_user 的用户：

curl -X POST "localhost:9200/_security/user/dev_user" \
-H "Content-Type: application/json" \
-d '{ "password" : "strong_password", "roles" : [ "kibana_system" ] }' \
-u elastic -k

注意：-k 参数用于忽略自签名证书验证，生产环境请配置正确的 CA 证书。

怎么验证是否生效

1. 浏览器验证：打开浏览器访问 Kibana 地址，使用刚才设置的账号密码登录。成功进入首页后，可查看右上角用户信息。

2. 日志验证：检查 Kibana 日志文件（通常在 logs/kibana.log），确认没有 authentication failed 或 SSL handshake failed 相关的报错。

3. API 验证：使用 curl 测试 ES 连接：

curl -u elastic:你的密码 https://localhost:9200/_security/_authenticate `--cacert` /path/to/ca.crt

常见坑

1. 版本差异与 SSL：8.x 版本默认开启安全认证和 TLS，配置项和证书要求比 7.x 更严格。若未配置 elasticsearch.ssl.certificateAuthorities，Kibana 会拒绝连接 HTTPS 的 ES。

2. Keystore 优先级：如果同时在 kibana.yml 和 keystore 中配置了密码，keystore 中的值会生效。修改密码后记得更新 keystore。

3. 浏览器缓存：有时旧会话缓存会导致登录循环，尝试清除浏览器缓存或使用无痕模式。

4. 证书路径：确保证书路径绝对正确且 Kibana 进程有读取权限，通常 ca.crt 位于 Elasticsearch 的 config/certs 目录下。

参考来源

• Elastic 官方文档 - Security overview (https://www.elastic.co/guide/en/elasticsearch/reference/current/security-api.html)
• Elastic 官方文档 - Kibana connection settings (https://www.elastic.co/guide/en/kibana/current/elasticsearch-settings.html)
• Elastic 官方文档 - Keystore settings (https://www.elastic.co/guide/en/kibana/current/keystore-settings.html)