本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon OpenSearch 無伺服器的網路存取

Amazon OpenSearch 無伺服器集合的網路設定可決定集合是否可透過網際網路從公用網路存取，或者是否必須以私密方式存取集合。

私人存取權可套用至下列其中一項或兩項：

您可以針對集合的OpenSearch端點及其對應的OpenSearch 儀表板端點個別設定網路存取。

網路存取是允許從不同來源網路存取的隔離機制。例如，如果集合的 OpenSearch 儀表板端點可公開存取，但 OpenSearch API 端點不是，則從公用網路連線時，使用者只能透過儀表板存取集合資料。如果他們嘗試直接從公用網路呼叫 OpenSearch API，就會封鎖它們。網路設定可用於來源到資源類型的這類排列。Amazon OpenSearch 無伺服器同時支援 IPv4 和 IPv6 連線。

網路政策

網路政策讓您可以自動將網路存取設定指派給符合政策中定義之規則的集合，以便大規模管理許多集合。

在網路政策中，您可以指定一系列規則。這些規則會定義收集端點和 OpenSearch 儀表板端點的存取權限。每個規則都包含一個存取類型 (公用或私人) 和資源類型 (集合和/或 OpenSearch 儀表板端點)。對於每個資源類型 (collection 和 dashboard)，您可以指定一系列規則來定義政策套用至的集合。

在此範例原則中，第一個規則會指定 VPC 端點存取權限，同時存取所有集合的集合端點和儀表板端點 (從該術語marketing*開始)。它還指定了 Amazon 基岩訪問。

第二個規則會指定對 finance 集合的公用存取權，但僅限於集合端點 (無 Dashboards 存取權)。

[
   {
      "Description":"Marketing access",
      "Rules":[
         {
            "ResourceType":"collection",
            "Resource":[
               "collection/marketing*"
            ]
         },
         {
            "ResourceType":"dashboard",
            "Resource":[
               "collection/marketing*"
            ]
         }
      ],
      "AllowFromPublic":false,
      "SourceVPCEs":[
         "vpce-050f79086ee71ac05"
      ],
      "SourceServices":[
         "bedrock.amazonaws.com"
      ],
   },
   {
      "Description":"Sales access",
      "Rules":[
         {
            "ResourceType":"collection",
            "Resource":[
               "collection/finance"
            ]
         }
      ],
      "AllowFromPublic":true
   }
]

此原則僅針對以「財務」開頭的集合提供 OpenSearch 儀表板的公開存取權。任何直接訪問 OpenSearch API 的嘗試都將失敗。

[
  {
    "Description": "Dashboards access",
    "Rules": [
      {
        "ResourceType": "dashboard",
        "Resource": [
          "collection/finance*"
        ]
      }
    ],
    "AllowFromPublic": true
  }
]

網路政策可套用至現有集合以及未來的集合。例如，您可以建立集合，然後使用符合集合名稱的規則建立網路政策。您不需要建立網路政策，就能建立集合。

考量事項

為集合設定網路存取時，請考慮以下項目：

設定網路原則所需的權限

OpenSearch 無伺服器的網路存取使用下列 AWS Identity and Access Management (IAM) 許可。您可以指定 IAM 條件，將使用者限制在與特定集合關聯的網路政策內。

下列身分型存取政策讓使用者可以檢視所有網路政策，以及更新包含資源模式 collection/application-logs 的政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "aoss:UpdateSecurityPolicy"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aoss:collection": "application-logs"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "aoss:ListSecurityPolicies",
                "aoss:GetSecurityPolicy"
            ],
            "Resource": "*"
        }
    ]
}

政策優先順序

在某些情況下，網路政策規則的重疊情形可能會在政策內部或跨政策發生。發生這種情況時，指定公用存取權的規則會覆寫為兩個規則通用的任何集合指定私有存取權的規則。

例如，在下列政策中，這兩個規則都會將網路存取指派給 finance 集合，但其中一個規則指定的是 VPC 存取權，而另一個規則指定的是公用存取權。在此情況下，公用存取權僅會覆寫財務集合的 VPC 存取權 (因為其同時存在於兩個規則中)，因此您可從公用網路存取該財務集合。銷售集合將具有來自指定端點的 VPC 存取權。

[
   {
      "Description":"Rule 1",
      "Rules":[
         {
            "ResourceType":"collection",
            "Resource":[
               "collection/sales",
               "collection/finance"
            ]
         }
      ],
      "AllowFromPublic":false,
      "SourceVPCEs":[
         "vpce-050f79086ee71ac05"
      ]
   },
   {
      "Description":"Rule 2",
      "Rules":[
         {
            "ResourceType":"collection",
            "Resource":[
               "collection/finance"
            ]
         }
      ],
      "AllowFromPublic":true
   }
]

如果來自不同規則的多個 VPC 端點套用至某個集合，則這些為附加規則，且可從所有指定端點存取該集合。如果您設定AllowFromPublic為true但同時提供一或多個SourceVPCEs或SourceServices，則 OpenSearch Serverless 會忽略 VPC 端點和服務識別碼，而相關聯的集合將具有公開存取權。

建立網路政策 (主控台)

網路政策可套用至現有政策以及未來政策。建議您先建立網路政策，然後再開始建立集合。

建立網路政策 (AWS CLI)

若要使用 OpenSearch 無伺服器 API 作業建立網路原則，請以 JSON 格式指定規則。要CreateSecurityPolicy求接受內嵌政策和 .json 檔案。所有集合和模式採用的格式必須為 collection/<collection name|pattern>。

若要指定私人存取權，請包含下列其中一個或兩個元素：

以下範例網路政策提供 VPC 端點和 Amazon 基岩的私有存取權，以便僅針對以前綴開頭的集合收集端點收集端點。log*已驗證的使用者無法登入 OpenSearch 儀表板；他們只能以程式設計方式存取集合端點。

[
   {
      "Description":"Private access for log collections",
      "Rules":[
         {
            "ResourceType":"collection",
            "Resource":[
               "collection/log*"
            ]
         }
      ],
      "AllowFromPublic":false,
      "SourceVPCEs":[
         "vpce-050f79086ee71ac05"
      ],
      "SourceServices":[
         "bedrock.amazonaws.com"
      ],
   }
]

下列原則會針對名為的單一集合提供 OpenSearch 端點和 OpenSearch 儀表板的公用存取權finance。如果該集合不存在，建立集合時，會將網路設定套用至該集合。

[
   {
      "Description":"Public access for finance collection",
      "Rules":[
         {
            "ResourceType":"dashboard",
            "Resource":[
               "collection/finance"
            ]
         },
         {
            "ResourceType":"collection",
            "Resource":[
               "collection/finance"
            ]
         }
      ],
      "AllowFromPublic":true
   }
]

下列請求會建立上述網路政策：

aws opensearchserverless create-security-policy \
    --name sales-inventory \
    --type network \
    --policy "[{\"Description\":\"Public access for finance collection\",\"Rules\":[{\"ResourceType\":\"dashboard\",\"Resource\":[\"collection\/finance\"]},{\"ResourceType\":\"collection\",\"Resource\":[\"collection\/finance\"]}],\"AllowFromPublic\":true}]"

若要在 JSON 檔案中提供政策，請使用 --policy file://my-policy.json 格式

檢視網路政策

在建立集合之前，您可能想要預覽帳戶中的現有網路政策，以查看哪個政策的資源模式與集合名稱相符。下列ListSecurityPolicies要求會列出您帳戶中的所有網路原則：

aws opensearchserverless list-security-policies --type network

此請求會傳回所有已設定網路政策的相關資訊。若要檢視在一個特定策略中定義的特徵碼規則，請在回應中的securityPolicySummaries元素內容中尋找原則資訊。請注意此原則type的name和，並在GetSecurityPolicy要求中使用這些屬性，以接收含下列原則詳細資訊的回應：

{
    "securityPolicyDetail": [
        {
            "type": "network",
            "name": "my-policy",
            "policyVersion": "MTY2MzY5MTY1MDA3Ml8x",
            "policy": "[{\"Description\":\"My network policy rule\",\"Rules\":[{\"ResourceType\":\"dashboard\",\"Resource\":[\"collection/*\"]}],\"AllowFromPublic\":true}]",
            "createdDate": 1663691650072,
            "lastModifiedDate": 1663691650072
        }
    ]
}

若要檢視有關特定原則的詳細資訊，請使用GetSecurityPolicy命令。

更新網路政策

當您修改網路的 VPC 端點或公用存取名稱時，所有關聯的集合都會受到影響。若要更新 OpenSearch 無伺服器主控台中的網路原則，請展開 [網路原則]，選取要修改的原則，然後選擇 [編輯]。進行變更，然後選擇 Save (儲存)。

若要使用 OpenSearch 無伺服器 API 更新網路原則，請使用指UpdateSecurityPolicy令。您必須在請求中包含政策版本。您可以使用 ListSecurityPolicies 或 GetSecurityPolicy 命令擷取政策版本。將最新的政策版本納入其中，可確保您不會意外覆寫其他人所做的變更。

下列請求會使用新的政策 JSON 文件更新網路政策：

aws opensearchserverless update-security-policy \
    --name sales-inventory \
    --type network \
    --policy-version MTY2MzY5MTY1MDA3Ml8x \
    --policy file://my-new-policy.json

刪除網路政策

您必須將網路政策從所有集合分離，才能將其刪除。若要刪除 OpenSearch 無伺服器主控台中的原則，請選取該原則，然後選擇刪除。

您也可以使用以下DeleteSecurityPolicy命令：

aws opensearchserverless delete-security-policy --name my-policy --type network