适用版本： 7.2-8.9
1. 错误说明 #
authentication did not contain metadata 是 Elasticsearch 安全模块在认证过程中抛出的 ElasticsearchSecurityException。该异常表示：当 Elasticsearch 尝试验证用户身份时，认证对象（Authentication）中缺少必要的元数据（metadata），导致后续逻辑无法继续执行。
该错误最常见于 OpenID Connect（OIDC）认证场景，例如使用 oidc realm 进行单点登录、IdP 发起的注销（logout）流程，或 Token 刷新操作中。
常见现象 #
- 用户在通过 OIDC 登录 Elasticsearch / Kibana 时遇到
401 Unauthorized或500 Internal Server Error。 - Kibana 单点登录页面跳转后报错，无法完成登录流程。
- Elasticsearch 日志中出现
ElasticsearchSecurityException: Authentication did not contain metadata。 - 使用 API Key 或 Bearer Token 访问受保护接口时返回
401。
典型报错与异常栈 #
ElasticsearchSecurityException: Authentication did not contain metadata
Caused by: java.lang.IllegalArgumentException
at org.elasticsearch.xpack.security.authc.AuthenticationService.validateAuthenticationAndMetadata(AuthenticationService.java:...)
at org.elasticsearch.xpack.security.authc.oidc.OpenIdConnectRealm.buildLogoutResponse(OpenIdConnectRealm.java:...)
另一种常见形态：
{"error":{"root_cause":[{"type":"security_exception","reason":"Authentication did not contain metadata"}],"status":401}}
2. 原因分析 #
该异常的根本原因是：认证流程中生成的 Authentication 对象没有携带 metadata Map，而后续代码逻辑（如注销响应构建、Token 校验）强制要求该元数据存在。
常见触发原因 #
OpenID Connect IdP 返回的 IdToken 缺少必要声明（claims）
- Elasticsearch 在解析 OIDC IdToken 时，会将特定声明写入
Authentication的 metadata 中。如果 IdToken 中缺少sub、iss、aud等关键字段，metadata 可能为空或缺失。
- Elasticsearch 在解析 OIDC IdToken 时，会将特定声明写入
OIDC Realm 配置不完整或错误
op.issuer、op.authorization_endpoint、op.token_endpoint、op.jwkset_path等配置项填写错误，导致 Elasticsearch 无法正确解析 IdToken。claims.principal或claims.groups映射配置错误，使得认证成功后无法构造完整的 metadata。
IdToken 过期或签名验证失败
- IdToken 已过期，或签名密钥（JWK）与 IdP 当前使用的密钥不匹配，导致解析失败，metadata 未被填充。
跨版本兼容性问题
- 某些 Elasticsearch 版本中，OIDC realm 的 metadata 处理逻辑存在 bug（例如在 7.x 早期版本中，特定注销路径未正确填充 metadata）。升级或降级后可能触发该问题。
Elasticsearch 与 Kibana 版本不匹配
- Kibana 使用的 OIDC 登录流程与 Elasticsearch 安全模块版本不兼容，导致认证上下文传递不完整。
3. 解决方案 #
3.1 验证 OIDC Realm 配置 #
检查 Elasticsearch 中 OIDC realm 的配置是否完整正确：
# 查看当前 OIDC realm 配置
GET _cluster/settings?include_defaults=true&filter_path=*.xpack.security.authc.realms.oidc.*
# 或使用以下方式查看
GET _nodes/settings?filter_path=**.xpack.security.authc.realms.oidc
一个典型的 OIDC realm 配置示例：
xpack.security.authc.realms.oidc.oidc1:
order: 2
idp.metadata.path: "https://keycloak.example.com/realms/master/.well-known/openid-configuration"
idp.client_id: "elasticsearch"
idp.client_secret: "your-client-secret"
rp.redirect_uri: "https://kibana.example.com/api/security/oidc/callback"
claims.principal: "sub"
claims.groups: "groups"
重点检查项：
idp.metadata.path是否可访问且返回合法的 OIDC 元数据claims.principal映射的字段在 IdToken 中确实存在rp.redirect_uri与 Kibana 配置中的xpack.security.authc.providers.oidc.<provider>.rp.redirect_uri一致
3.2 检查 IdToken 内容 #
使用以下方式解码并查看 IdToken 的实际内容：
# 从浏览器或日志中获取 IdToken 后，解码 JWT payload
echo "YOUR_ID_TOKEN_HERE" | cut -d'.' -f2 | base64 -d 2>/dev/null | jq .
# 或在线解码后检查是否包含以下必要字段：
# - iss (issuer)
# - sub (subject)
# - aud (audience)
# - exp (expiration)
# - iat (issued at)
如果 IdToken 缺少关键声明，需要在 IdP（如 Keycloak、Okta、Auth0）中调整客户端配置，确保发布所需 claims。
3.3 更新或重新生成客户端凭证 #
如果怀疑是凭证过期或配置漂移导致：
# 1. 在 IdP 中重新生成 client_secret
# 2. 更新 Elasticsearch keystore 中的 OIDC 凭证
bin/elasticsearch-keystore add xpack.security.authc.realms.oidc.oidc1.rp.client_secret
# 3. 重启 Elasticsearch 节点（或轮转重启）
3.4 检查 Elasticsearch 日志定位具体失败阶段 #
# 在 Elasticsearch 日志中搜索相关异常
grep -n "Authentication did not contain metadata" /var/log/elasticsearch/elasticsearch.log
grep -n "OpenIdConnectRealm" /var/log/elasticsearch/elasticsearch.log
# 同时检查认证失败前的 OIDC 相关日志
grep -n "oidc\|OIDC\|OpenIdConnect" /var/log/elasticsearch/elasticsearch.log | tail -50
如果日志显示 validateAuthenticationAndMetadata 被调用时 tokenMetadata == null，说明认证对象在构造阶段就已经缺失 metadata，需要重点检查 realm 的 authenticate 方法链路。
3.5 版本兼容性处理 #
如果确认是版本 bug：
- 查阅 Elasticsearch Release Notes 确认是否有相关修复
- 考虑升级到已修复该问题的版本（7.17.x 或 8.x 最新稳定版）
- 临时规避方案：切换为其他认证方式（如
nativerealm + Kibana 本地用户）作为应急手段
4. 预防措施 #
规范 OIDC Realm 配置
- 使用 OIDC 发现端点（
/.well-known/openid-configuration）而非手动填写各端点，减少配置错误。 - 在
claims映射中明确指定默认值，避免因 IdP 返回结构变化导致 metadata 缺失。
- 使用 OIDC 发现端点（
监控认证失败日志
- 将
ElasticsearchSecurityException纳入告警规则，在认证异常频率升高时及时通知。 - 使用 INFINI Console 统一查看集群安全事件与认证失败趋势。
- 将
IdP 与 Elasticsearch 版本同步验证
- 在升级 Elasticsearch 或 Kibana 前，在测试环境验证 OIDC 登录流程完整性。
- 记录当前使用的 IdP（Keycloak/Okta/Auth0）版本与 Elasticsearch 版本的兼容性矩阵。
Token 生命周期管理
- 合理设置 IdToken 过期时间，避免过短导致频繁刷新、过长增加安全风险。
- 配置 Kibana 的
xpack.security.session.idleTimeout和xpack.security.session.lifespan与 IdToken 过期时间协调。
使用网关层统一认证治理
- 通过 INFINI Gateway 在 Elasticsearch 前端做统一的认证、鉴权和流量治理，减少直接修改 Elasticsearch 安全配置的频次和风险。
5. 小结 #
Authentication did not contain metadata 是一个典型的 OIDC 认证链路异常，核心问题是认证对象缺少必要的元数据。排查时应从 OIDC Realm 配置 → IdToken 内容 → 版本兼容性 三个方向入手，结合 Elasticsearch 日志中的异常栈定位具体失败阶段。
建议将 OIDC 配置纳入版本管理，并在变更 IdP 或升级 Elasticsearch 前进行完整的登录流程验证，从源头减少此类问题的发生。
相关错误 #
- no-active-authentication：无有效认证
- authentication-failed：认证失败
- invalid-token：无效 Token
- realm-is-not-available：Realm 不可用
- security-exception：安全异常
附：日志上下文 #
下面保留当前页面中的源码或日志片段，便于继续结合异常调用栈定位问题：
return ((OpenIdConnectRealm) realm).buildLogoutResponse(idToken);
} private void validateAuthenticationAndMetadata(Authentication authentication; MaptokenMetadata) {
if (tokenMetadata == null) {
throw new ElasticsearchSecurityException("Authentication did not contain metadata");
}
if (authentication == null) {
throw new ElasticsearchSecurityException("No active authentication");
}
final User user = authentication.getEffectiveSubject().getUser();
