AWS Elasticsearch 서비스 (정적 IP 및 Lambda ARN)에 다중 도메인 액세스 정책 추가

Question

AWS Elasticsearch를 설정 한 후 고정 IP 서버에 Logstash 및 Kibana 프록시를 설치하고이 도메인 액세스 정책을 ES에 추가 했으므로 잘 작동합니다. 다음 AWS ES 액세스 정책에 추가 IAM Managment를 콘솔에서와 관계있는 ARN를 복사

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Sid": "", 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "*" 
     }, 
     "Action": "es:*", 
     "Resource": "arn:aws:es:ap-southeast-1:323137313233:domain/sg-es-logs/*", 
     "Condition": { 
     "IpAddress": { 
      "aws:SourceIp": [ 
      "192.192.192.192" 
      ] 
     } 
     } 
    } 
    ] 
} 

는 지금은 람다 함수는 AWS ES에 es:ESHttpDelete 동작을 실행할 수 있도록해야합니다, 그래서 기존 역할 service-role/Elasticsearch과 기능을 만들어 이 문제를 해결하려면

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": [ 
      "arn:aws:iam:: 323137313233:role/service-role/Elasticsearch" 
     ] 
     }, 
     "Action": [ 
     "es:*" 
     ], 
     "Resource": "arn:aws:es:ap-southeast-1:323137313233:domain/sg-es-logs/*" 
    } 
    ] 
} 

문제가 있습니다 ES 정적 IP 또는 ARN에 대해 도메인 액세스 정책을 선택해야하지만 둘 다에 대해 선택해서는 안됩니다. 콘솔을 사용하지 않고 수동으로 병합하려고했을 때 작동하지 않았습니다. AWS 설명서를 확인했지만 가능한지 여부는 언급하지 않았습니다.

Answer 1

Statement 배열에 정책의 JSON 형식으로 여러 정책 문을 추가 할 수 있습니다.

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Sid": "", 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "*" 
     }, 
     "Action": "es:*", 
     "Resource": "arn:aws:es:ap-southeast-1:323137313233:domain/sg-es-logs/*", 
     "Condition": { 
     "IpAddress": { 
      "aws:SourceIp": [ 
      "192.192.192.192" 
      ] 
     } 
     } 
    }, 
    { 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": [ 
      "arn:aws:iam:: 323137313233:role/service-role/Elasticsearch" 
     ] 
     }, 
     "Action": [ 
     "es:*" 
     ], 
     "Resource": "arn:aws:es:ap-southeast-1:323137313233:domain/sg-es-logs/*" 
    } 
    ] 
}