Criação de snapshots de índices no Amazon OpenSearch Service

Crie um bucket do S3 para armazenar snapshots manuais para o domínio do OpenSearch Service. Para obter mais informações, consulte Criar um bucket no Manual do usuário do Amazon Simple Storage Service.

Lembre-se do nome do bucket para usá-lo nos seguintes locais:

Crie uma função do IAM para delegar permissões ao OpenSearch Service. Para obter instruções, consulte Criação de funções do IAM (console) no Manual do usuário do IAM. O restante deste capítulo se refere a essa função como TheSnapshotRole.

Anexar uma política do IAM

Anexe a política a seguir ao TheSnapshotRole para permitir acesso ao bucket do S3:

{
  "Version": "2012-10-17",
  "Statement": [{
      "Action": [
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::s3-bucket-name"
      ]
    },
    {
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::s3-bucket-name/*"
      ]
    }
  ]
}

Para obter instruções de como associar uma política gerenciada a uma função, consulte Adição de permissões de identidade do IAM no Manual do usuário do IAM.

Editar a relação de confiança

Edite a relação de confiança de TheSnapshotRole para especificar o OpenSearch Service na instrução Principal conforme mostrado no exemplo a seguir:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "",
    "Effect": "Allow",
    "Principal": {
      "Service": "es.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
  }]
  
}

Para obter instruções de como editar a relação de confiança, consulte Modificação da política de confiança de uma função no Manual do usuário do IAM.

Para registrar o repositório de snapshots, você precisa ser capaz de passar TheSnapshotRole para o OpenSearch Service. Você também precisa de acesso à ação es:ESHttpPut. Para conceder ambas as permissões, anexe a seguinte política ao perfil do IAM cujas credenciais estão sendo usadas para assinar a solicitação:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::123456789012:role/TheSnapshotRole"
    },
    {
      "Effect": "Allow",
      "Action": "es:ESHttpPut",
      "Resource": "arn:aws:es:region:123456789012:domain/domain-name/*"
    }
  ]
}

Se seu usuário ou função não tiver permissões iam:PassRole para passar TheSnapshotRole, talvez você encontre o seguinte erro comum ao tentar registrar um repositório na próxima etapa:

$ python register-repo.py
{"Message":"User: arn:aws:iam::123456789012:user/MyUserAccount
is not authorized to perform: iam:PassRole on resource:
arn:aws:iam::123456789012:role/TheSnapshotRole"}