AWS OpenSearch Service主用户不定期失效问题排查求助

• 自动化清理脚本误操作：测试环境常配置成本优化的自动清理规则，比如闲置资源回收脚本、批量重置环境的CI/CD流水线，可能误删OpenSearch内部用户存储中的主用户条目。排查是否有针对测试环境的定时运维任务，时间点是否与用户失效事件匹配。
• 配置漂移导致用户覆盖：如果通过CloudFormation、Terraform等IaC工具管理OpenSearch域，某次部署时模板可能遗漏主用户定义、或参数覆盖时重置了认证配置，直接导致主用户被删除或身份信息被覆盖。核对部署历史与用户失效时间的关联性。
• 内部身份存储同步异常：OpenSearch内部用户数据库在单实例替换、滚动升级或蓝绿部署时，若节点资源不足（测试环境常使用低配实例），可能出现元数据同步延迟、快照恢复不完全的情况，最终导致主用户数据丢失。检查域的节点替换、升级记录是否与事件吻合。
• IAM关联权限变更：若主用户依赖IAM角色进行认证，测试环境的IAM角色可能被误删、权限调整或信任关系修改，导致OpenSearch无法完成身份验证。查看IAM角色的变更日志，确认是否有对应时间点的操作记录。
• 第三方认证插件兼容性问题：如果测试环境部署了SAML、LDAP等第三方认证插件，插件与OpenSearch版本不兼容、或配置存在隐性错误，可能导致主用户的认证逻辑异常，表现为“失效”。查看OpenSearch的插件日志，排查认证流程中的报错信息。
• 资源阈值触发的隐性回收：部分AWS账号会配置自定义成本控制策略，当测试环境资源使用超过阈值时，可能触发后端组件（包括身份存储相关服务）的临时回收，间接导致用户数据丢失。检查账号的成本告警或资源限制规则。

内容的提问来源于stack exchange，提问作者S. Parton