Index-Snapshots in Amazon OpenSearch Service erstellen

Erstellen Sie einen S3-Bucket zum Speichern manueller Snapshots für Ihre OpenSearch Service-Domain. Weitere Anleitungen finden Sie unter Erstellen eines Buckets im Benutzerhandbuch für Amazon Simple Storage Service.

Merken Sie sich den Namen des Buckets, um ihn an den folgenden Stellen zu verwenden:

Erstellen Sie eine IAM Rolle, um Berechtigungen an den OpenSearch Dienst zu delegieren. Anweisungen finden Sie im IAMBenutzerhandbuch unter Erstellen einer IAM Rolle (Konsole). Das restliche Kapitel bezieht sich auf diese Rolle als TheSnapshotRole.

Hängen Sie eine IAM Richtlinie an

Hängen Sie die folgende Richtlinie an TheSnapshotRole an, um den Zugriff auf den S3-Bucket zuzulassen:

{
  "Version": "2012-10-17",
  "Statement": [{
      "Action": [
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::s3-bucket-name"
      ]
    },
    {
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::s3-bucket-name/*"
      ]
    }
  ]
}

Anweisungen zum Anhängen einer Richtlinie an eine Rolle finden Sie unter Hinzufügen von IAM Identitätsberechtigungen im IAMBenutzerhandbuch.

Bearbeiten der Vertrauensstellung

Bearbeiten Sie die Vertrauensstellung vonTheSnapshotRole, um OpenSearch Service in der Principal Anweisung anzugeben, wie im folgenden Beispiel gezeigt:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "",
    "Effect": "Allow",
    "Principal": {
      "Service": "es.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
  }]
  
}

Anweisungen zum Bearbeiten der Vertrauensbeziehung finden Sie unter Ändern einer Rollenvertrauensrichtlinie im IAMBenutzerhandbuch.

Um das Snapshot-Repository zu registrieren, müssen Sie in der Lage sein, zum OpenSearch Service TheSnapshotRole zu wechseln. Sie benötigen außerdem Zugriff auf die Aktion es:ESHttpPut. Um diese beiden Berechtigungen zu gewähren, fügen Sie der IAM Rolle, deren Anmeldeinformationen zum Signieren der Anfrage verwendet werden, die folgende Richtlinie hinzu:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::123456789012:role/TheSnapshotRole"
    },
    {
      "Effect": "Allow",
      "Action": "es:ESHttpPut",
      "Resource": "arn:aws:es:region:123456789012:domain/domain-name/*"
    }
  ]
}

Wenn Ihr Benutzer oder Ihre Rolle nicht über die iam:PassRole erforderlichen Berechtigungen verfügtTheSnapshotRole, tritt möglicherweise der folgende Fehler auf, wenn Sie im nächsten Schritt versuchen, ein Repository zu registrieren:

$ python register-repo.py
{"Message":"User: arn:aws:iam::123456789012:user/MyUserAccount
is not authorized to perform: iam:PassRole on resource:
arn:aws:iam::123456789012:role/TheSnapshotRole"}