Amazon Elastic Search Clusterの適切なアクセスポリシー

最近、新しいAmazon Elasticsearch Serviceの使用を開始しましたが、特定のIAMロールが割り当てられているEC2インスタンスからのみサービスにアクセスできるように、必要なアクセスポリシーを理解できていないようです。

ESドメインに現在割り当てているアクセスポリシーの例を次に示します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::[ACCOUNT_ID]:role/my_es_role",
        ]
      },
      "Action": "es:*",
      "Resource": "arn:aws:es:us-east-1:[ACCOUNT_ID]:domain/[ES_DOMAIN]/*"
    }
  ]
}

しかし、私が言ったように、これは機能しません。EC2インスタンス（my_es_role役割が関連付けられている）にログインし、「https：//*.es.amazonaws.com」エンドポイントで単純なcurl呼び出しを実行しようとすると、次のエラーが発生します。

{"メッセージ"： "ユーザー：匿名には実行が許可されていません：es：ESHttpGetに対するリソース：arn：aws：es：us-east-1：[ACCOUNT_ID]：domain / [ES_DOMAIN] /“}

これが機能するためにアクセスポリシーで何を変更する必要があるかを誰かが知っていますか？

アクセスをIAMのみにロックできますが、ブラウザでKibanaをどのように表示しますか？プロキシをセットアップするか（Gistおよび/またはNPMモジュールを参照）、結果を表示するためにIAMとIPベースのアクセスの両方を有効にすることができます。

次のアクセスポリシーを使用して、IAMアクセスとIP制限付きアクセスの両方を取得できました。順序が重要であることに注意してください。IAMステートメントの前にIPベースのステートメントを使用することはできません。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::xxxxxxxxxxxx:root"
      },
      "Action": "es:*",
      "Resource": "arn:aws:es:us-west-2:xxxxxxxxxxxx:domain/my-elasticsearch-domain/*"
    },
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:*",
      "Resource": "arn:aws:es:us-west-2:xxxxxxxxxxxx:domain/my-elasticsearch-domain/*",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": [
            "192.168.1.0",
            "192.168.1.1"
          ]
        }
      }
    }
  ]
}

EC2インスタンスには、arn:aws:iam::aws:policy/AmazonESFullAccess ポリシーが設定されたインスタンスプロファイルがあります 。Logstashは、logstash-output-amazon-es出力プラグインを使用してリクエストに署名する必要があります。EC2インスタンスで実行されているLogstashには、次のような出力セクションが含まれています。

output {
    amazon_es {
        hosts => ["ELASTICSEARCH_HOST"]
        region => "AWS_REGION"
    }
    # If you need to do some testing & debugging, uncomment this line:
    # stdout { codec => rubydebug }
}

アクセスポリシーの2つのIP（192.168.1.0と192.168.1.1）からKibanaにアクセスできます。

AWS docによると、あなた（と私）がテストしたばかりなので、AWS ESドメインへのアクセスをrole / account / user / ...に制限することはできません。

curlなどの標準クライアントは、IDベースのアクセスポリシーに必要な要求署名を実行できません。この手順の手順を正常に実行するには、匿名アクセスを許可するIPアドレスベースのアクセスポリシーを使用する必要があります。（http://docs.aws.amazon.com/elasticsearch-service/latest/developerguide/es-gsg-search.html）

したがって、基本的に2つのソリューションがあります。

• アクセスポリシーを変更してIPに制限します。ESクラスターがVPCに属していないように見えるため（デフォルトかどうかにかかわらず）、プライベートIPは使用できません。パブリックIPを使用してください
• リクエストに署名します：http : //docs.aws.amazon.com/elasticsearch-service/latest/developerguide/es-managedomains.html#es-managedomains-signing-service-requests

リクエストに署名することは、アクセスポリシーをそのまま維持したい場合（IPに制限するよりも柔軟です）、おそらく最善の解決策ですが、少し複雑なようです。これまで試したことがないので、役立つドキュメントが見つかりません。

パーティーには少し遅れましたが、リクエストに署名を追加することでまったく同じ問題に対処することができました。

Pythonを使用している場合（私と同じように）、次のライブラリを使用すると、実装が特に簡単になります。https： //github.com/DavidMuller/aws-requests-auth

それは私には完璧に働きました。

エラスティック検索ポリシーで完全なユーザー名を入力するだけです。

この場合、エラーメッセージ自体から完全なユーザー名を取得できます。私の場合：「arn：aws：sts :: [ACCOUNT_ID]：assumed-role / [LAMBDA_POLICY_NAME] / [LAMBDA_NAME]」

    {
        "Version": "2012-10-17",
        "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "AWS": [
              "arn:aws:sts::xxxxxxxxxxxx:assumed-role/[lambda-role]/[full-lambda-name]"
            ]
          },
          "Action": "es:*",
          "Resource": "arn:aws:es:[region]:xxxxxxxxxxxxx:domain/[elasticsearch-domain-name]/*"
        }
      ]

    }

IPアドレスをハードコーディングするようなIPベースのポリシーではなく、リソースベースのポリシーまたはIDベースのポリシーを使用できます。

ただし、リクエストに署名するには署名バージョン4を使用する必要があります

Javaの実装については、http：//mytechbites.blogspot.in/2017/04/secure-amazon-elastic-search-service.htmlを参照してください

ロールARNを変更する必要があります。「arn：aws：iam :: [ACCOUNT_ID]：role / service-role / my_es_role」のようになります。

私もこれをやろうとしており、Allow access to the domain from specific IP(s)EC2インスタンスのElastic IPのオプションを使用してそれを動作させました（インスタンスのプライベートIPを使用しても動作する可能性がありますが、確信が持てません）