0
1.1K
ViewsConsola de AWS ElasticSearch: Cómo acceder a la pestaña Índices en mi dominio ES
No puedo acceder a la pestaña de índices de mi dominio ES en la consola de AWS ElasticSearch. Así es como se ve en la consola:
Aunque agregué mi IAM ARN (arn:aws:iam::NNNNNNNNNNNNN:root) a la política de acceso de la consola, sigo recibiendo este error:
/_stats: { "error":{ "root_cause":[ { "type":"security_exception", "reason":"no permissions for [indices:monitor/stats] and User [name=arn:aws:iam::NNNNNNNNNNNNN:root, backend_roles=[], requestedTenant=null]" } ], "type":"security_exception", "reason":"no permissions for [indices:monitor/stats] and User [name=arn:aws:iam::NNNNNNNNNNNNN:root, backend_roles=[], requestedTenant=null]" }, "status":403 }¿Alguna idea de lo que salió mal? El dominio también tiene control de acceso con una contraseña maestra.
3 answers
Answer question0
Resulta que la configuración de mi política de acceso en sí era correcta, pero si tiene la cuenta de usuario maestra configurada con la autenticación básica en su dominio, los índices y el estado del clúster no funcionan. Después de cambiar a una cuenta maestra basada en ARN, funcionó.
0
Para Googlers:
A partir del 2020/01, Amazon ES emplea una forma engañosa de determinar cómo se realiza la autorización de granularidad fina.
- Si su usuario maestro es un ARN de usuario de IAM, implícitamente opta por el método IAM.
- Si su usuario maestro se crea como un usuario de ES con su propio nombre de usuario y contraseña, implícitamente opta de la manera normal
Las implicaciones son:
- IAM-way toma el token de AWS como una forma de autorizar solicitudes
- La forma normal toma la autenticación HTTP
- Si elige la forma normal, ES no se integrará con IAM ni asignará usuarios/roles de IAM a usuarios internos, incluso si aparentemente se asignaron en la interfaz de usuario de Kibana.
- Si elige la forma de IAM, perderá la capacidad de iniciar sesión a través de la página de inicio de sesión predeterminada de Kibana, dejará de funcionar.
- Si aún desea utilizar IAM-way más la interfaz de usuario de Kibana, deberá integrar Cognito
Esto parece muy confuso para los usuarios que ven usuarios / roles de IAM asignados, pero solo para encontrarlos no autorizados al acceder al dominio.
Como puede cambiar el usuario maestro (con tiempo de inactividad) para el dominio ES, puede cambiarlo de un lado a otro para evitar la integración con Cognito, pero esto es una molestia.
Esto debería estar más claramente establecido, o mejor enfatizado en los documentos oficiales .
0
Vaya al menú desplegable de acciones como se muestra en la imagen a continuación, allí se mostrará la política de acceso actual adjunta con su dominio de Elasticsearch.
En mi caso, se ve a continuación y puedo acceder a la pestaña de índices. Tenga en cuenta que la clave de Recursos que tiene /* significa que permitió el acceso a todos los puntos finales en mi dominio y los índices son parte de ella.
Nota: una vez que tenga acceso, puede presionar directamente la _cat/indices?v para obtener los detalles de todos los índices.