AWS Cloudformation - Elasticsearch 访问控制策略服务错误 InvalidTypeException

Question

我想通过定义限制访问 iam 用户、特定 lambda 函数和 appsync api 的Access Policies来限制对我在 aws 上的 elasticsearch 集群的Access Policies 。

我在 cloudformation 上的 elasticsearch 资源中定义了以下access policies ，但失败并出现错误： Service: AWSElasticsearch; Status Code: 409; Error Code: InvalidTypeException; Service: AWSElasticsearch; Status Code: 409; Error Code: InvalidTypeException;

我如何修复我的政策以使其有效？

"Type": "AWS::Elasticsearch::Domain",
        "Properties": {
            "AccessPolicies": {
                "Version": "2012-10-17",
                "Statement": [
                    {
                        "Effect": "Allow",
                        "Principal": {
                            "Service": [
                                {
                                    "Fn::Join": [
                                        "",
                                        [
                                            "arn:aws:lambda:",
                                            {"Ref": "AWS::Region"},
                                            ":",
                                            {"Ref": "AWS::AccountId"},
                                            ":function:",
                                            {"Ref": "DdEsLambdaFunctionName"},
                                            "-",
                                            {"Ref": "env"}
                                        ]
                                    ]
                                },
                                {
                                    "Fn::Join": [
                                        "",
                                        [
                                            {"Ref": "GraphQLAPI"},
                                            "/*"
                                        ]
                                    ]
                                }
                            ]
                        },
                        "Action": [
                            "es:ESHttp*"
                        ]
                    },
                    {
                        "Effect": "Allow",
                        "Principal": [
                            {
                                "AWS": {
                                    "Fn::Join": [
                                        "",
                                        [
                                            "arn:aws:iam::",
                                            {"Ref": "AWS::AccountId"},
                                            ":user/*"
                                        ]
                                    ]
                                }
                            }
                        ],
                        "Action": "*"
                    }
                ]
            },...}

Answer 1

不确定这是否是核心问题，但您的第一个Principal不正确。

您指定了Service但您提供了 lambda ARN。 ARN 属于AWS委托人类型，而不是Service类型。 可能GraphQLAPI也是一个 ARN，它也不是Service委托人，而是AWS委托人。