Amazon OpenSearch Service でのインデックススナップショットの作成

OpenSearch Service ドメイン用の手動スナップショットを保存するための S3 バケットを作成します。手順については、Amazon Simple Storage Service ユーザーガイドの「最初のバケットを作成する」を参照してください。

次の場所で使用するには、バケットの名前を覚えておいてください。

OpenSearch Service に許可を委任する IAM ロールを作成します。手順については、IAM ユーザーガイドの「IAM ロールの作成 (コンソール)」を参照してください。この章の残りの部分では、このロールを TheSnapshotRole と呼びます。

IAM ポリシーのアタッチ

次のポリシーを TheSnapshotRole にアタッチして、S3 バケットへのアクセスを許可します。

{
  "Version": "2012-10-17",
  "Statement": [{
      "Action": [
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::s3-bucket-name"
      ]
    },
    {
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::s3-bucket-name/*"
      ]
    }
  ]
}

ポリシーをロールにアタッチする方法については、IAM ユーザーガイドの「IAM ID 許可の追加」を参照してください。

信頼関係を編集する

TheSnapshotRole の信頼関係を編集して、次の例に示すように、Principal ステートメントで OpenSearch Service を指定します。

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "",
    "Effect": "Allow",
    "Principal": {
      "Service": "es.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
  }]
  
}

信頼関係を編集する手順については、IAM ユーザーガイドの「ロールの信頼ポリシーの変更」を参照してください。

スナップショットリポジトリを登録するには、TheSnapshotRole を OpenSearch Service に渡すことができる必要があります。さらに、es:ESHttpPut アクションへのアクセスも必要です。これらの両方の許可を付与するには、リクエストの署名に認証情報が使用されている IAM ロールまたはユーザーに次のポリシーをアタッチします。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::123456789012:role/TheSnapshotRole"
    },
    {
      "Effect": "Allow",
      "Action": "es:ESHttpPut",
      "Resource": "arn:aws:es:region:123456789012:domain/domain-name/*"
    }
  ]
}

ユーザーまたはロールが TheSnapshotRole を渡すための iam:PassRole 許可を持っていない場合、次のステップでリポジトリを登録しようとすると、次の一般的なエラーが発生することがあります。

$ python register-repo.py
{"Message":"User: arn:aws:iam::123456789012:user/MyUserAccount
is not authorized to perform: iam:PassRole on resource:
arn:aws:iam::123456789012:role/TheSnapshotRole"}