如何使用 IAM 从 EC2 连接到 AWS Elasticsearch？

Question

我正在尝试将我的 EC2 实例连接到我的 ES 域并不断收到以下错误：

AuthorizationException(403, 'security_exception', 'no permissions for [indices:data/read/search] and User [name=arn:aws:iam::ACCOUNT_ID:role/my-role, backend_roles=[arn:aws:iam::ACCOUNT_ID:role/my-role], requestedTenant=null]')

Elasticsearch配置：

通过 IAM 访问策略进行公共域细粒度访问控制：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::ACCOUNT_ID:role/my-role"
      },
      "Action": "es:*",
      "Resource": "arn:aws:es:REGION:ACCOUNT_ID:domain/test/*"
    }
  ]
}

EC2 配置：

使用具有权限的 IAM 角色my-role ：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "es:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

从 EC2 发送到 ES 的所有 HTTP 请求都被签名。 我已经验证了签名工作：如果我在设置我的 ES 域时使用我也设置为 IAM ARN 主用户的 IAM 用户的安全凭证，则 EC2 和 ES 之间的请求按预期工作。

Answer 1

问题可能在于 ES 中的细粒度访问控制。 这里提到了同样的问题

Answer 2

如果您想从 EC2 实例使用 FGAC 连接到同一个 ES 集群，那么您需要 map EC2 IAM 角色和后端 kibana 角色。 首先，您需要使用主用户登录 kibana，然后按照从doc到 map EC2 IAM 角色到 kibana 'all_access' 角色的步骤操作