Amazon OpenSearch Service에서 인덱스 스냅샷 생성

S3 버킷을 생성하여 OpenSearch Service 도메인에 대한 수동 스냅샷을 저장합니다. 지침을 보려면 Amazon Simple Storage Service 사용 설명서에서 버킷 생성을 참조하세요.

버킷의 이름을 기억해야 다음 위치에서 사용할 수 있습니다.

OpenSearch Service에 대한 권한을 위임할 IAM 역할을 생성합니다. 지침은 IAM 사용 설명서에서 IAM 역할 생성(콘솔)을 참조하세요. 이 장의 나머지 부분에서는 이 역할을 TheSnapshotRole이라고 부릅니다.

IAM 정책 연결

다음 정책을 TheSnapshotRole에 연결하여 S3 버킷에 대한 액세스를 허용하려면:

{
  "Version": "2012-10-17",
  "Statement": [{
      "Action": [
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::s3-bucket-name"
      ]
    },
    {
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::s3-bucket-name/*"
      ]
    }
  ]
}

정책을 역할에 연결하는 지침은 IAM 사용 설명서의 IAM 자격 증명 권한 추가를 참조하세요.

신뢰 관계 편집

다음 예제에서와 같이 Principal 설명문에서 OpenSearch Service를 지정하려면 TheSnapshotRole의 신뢰 관계를 편집합니다.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "",
    "Effect": "Allow",
    "Principal": {
      "Service": "es.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
  }]
  
}

신뢰 관계를 편집에 대한 지침은 IAM 사용 설명서에서 역할 신뢰 정책 수정을 참조하세요.

스냅샷 리포지토리를 등록하려면 TheSnapshotRole을 OpenSearch Service에 전달할 수 있어야 합니다. es:ESHttpPut 작업에도 액세스해야 합니다. 이러한 두 권한을 모두 부여하려면 요청에 서명하기 위해 자격 증명이 사용되는 IAM 역할에 다음 정책을 연결합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::123456789012:role/TheSnapshotRole"
    },
    {
      "Effect": "Allow",
      "Action": "es:ESHttpPut",
      "Resource": "arn:aws:es:region:123456789012:domain/domain-name/*"
    }
  ]
}

사용자 또는 역할에 TheSnapshotRole을 전달할 iam:PassRole 권한이 없는 경우 다음 단계에서 리포지토리를 등록하려고 할 때 다음과 같은 일반적인 오류가 발생할 수 있습니다.

$ python register-repo.py
{"Message":"User: arn:aws:iam::123456789012:user/MyUserAccount
is not authorized to perform: iam:PassRole on resource:
arn:aws:iam::123456789012:role/TheSnapshotRole"}