security_exception: security_exception: unable to authenticate / action [...] is unauthorized for user [...] (HTTP 401/403) (no se puede autenticar / acción no autorizada)

¿Qué significa?

Falló la autenticación (401 Unauthorized) o la autorización (403 Forbidden). 401 indica credenciales ausentes/incorrectas; 403 indica que el usuario está autenticado pero carece del rol/privilegio necesario para esta acción/índice.

¿Por qué ocurre?

Nombre de usuario/contraseña o API key incorrectos, falta la cabecera Authorization, un token caducado/no válido, el usuario carece del privilegio de índice o de clúster correspondiente, o una asignación de roles ausente/incorrecta.

Cómo solucionarlo

Para 401: envíe las credenciales/API key correctas y revise la cabecera Authorization. Para 403: inspeccione los roles y privilegios del usuario (GET _security/user/app_user, GET _security/role/app_role) y añada los privilegios de índice/clúster necesarios. Siga el principio de mínimo privilegio. Si usa una API key, verifique su caducidad y sus permisos.