使用Cognito用户认证调用OpenSearch服务遇401问题求助

先踩最常见的坑 #

• 别用错Token：OpenSearch API认的是IdToken，不是AccessToken！很多人搞混，AccessToken是给Cognito内部接口用的，IdToken才是用来过OpenSearch认证的核心凭证。
• 检查请求头格式：Authorization头必须严格写成Bearer {IdToken}，注意Bearer首字母大写，后面跟空格再贴token，别漏空格或者拼错单词。

权限配置排查 #

• IAM角色权限要到位：Cognito身份池关联的IAM角色，得配置足够的OpenSearch操作权限，比如es:ESHttpGet、es:ESHttpPost这些，资源要精准指定到你的OpenSearch域名（格式示例：arn:aws:es:xx-xxxx-x:xxxxxxxxx:domain/your-domain/*）。
• OpenSearch域访问策略要放行：确保域的访问策略允许这个IAM角色访问，示例配置参考：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::xxxxxxxxx:role/cognito-xxx-pool-auth-role"
        },
        "Action": ["es:*"],
        "Resource": "arn:aws:es:xx-xxxx-x:xxxxxxxxx:domain/your-domain/*"
      }
    ]
  }
  

• 角色映射不能错：OpenSearch域的Cognito配置里，用户池的用户必须能正确映射到这个有权限的IAM角色，别搞成匿名或者无权限的角色。

Token有效性验证 #

• 去jwt.io解码IdToken，检查aud（受众）是否匹配你的OpenSearch域名配置，iss（签发者）是否是你的Cognito用户池地址（格式示例：https://cognito-idp.xx-xxxx-x.amazonaws.com/xxxxxxxxx_xxxxxx）。
• 用Cognito的GetUser接口验证Token有效性，调用时携带AccessToken，能正常返回用户信息就说明Token没问题。

实操测试 #

• 先用AWS CLI测试，如果CLI能正常访问OpenSearch，说明权限配置没问题，问题肯定出在Token或者请求头。示例命令：

  aws opensearch get-package-version-history --domain-name your-domain --package-id test-package --region xx-xxxx-x
  

• 如果CLI也访问失败，先优先把IAM权限和域访问策略捋顺。

内容的提问来源于stack exchange，提问作者Hairi