C# AWS Lambda使用OpenSearch.Client连接AWS OpenSearch时遇403错误

核心原因 #

AWS SigV4签名时，服务名称需明确指定为es（对应AWS OpenSearch/Elasticsearch服务），默认自动推断可能因自定义域名等场景失效，导致签名范围错误触发403。

解决方案 #

1. 显式指定SigV4签名的服务名称

修改代码，创建AwsSigV4HttpConnection时直接指定service: "es"：

var pool = new SingleNodeConnectionPool(new Uri(opensearchUrl));
var awsCredentials = FallbackCredentialsFactory.GetCredentials();
// 关键：显式设置服务名为'es'
var httpConnection = new AwsSigV4HttpConnection(awsCredentials, config.AWSRegion, service: "es");

var connectionSettings = new ConnectionSettings(pool, httpConnection)
    .EnableDebugMode();

var opensearchClient = new OpenSearchClient(connectionSettings);

await opensearchClient.BulkAsync(bd => bd.IndexMany(itemsToIndex));

2. 检查Lambda执行角色权限

确保Lambda的IAM角色拥有OpenSearch操作权限，示例权限策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "es:ESHttpPost",
        "es:ESHttpPut",
        "es:ESHttpGet"
      ],
      "Resource": "arn:aws:es:你的区域:你的账户ID:domain/你的OpenSearch域名/*"
    }
  ]
}

3. 验证区域一致性

确认config.AWSRegion的值与OpenSearch集群所在区域完全一致（如us-east-1），区域不匹配会导致签名验证失败。

本地测试说明

方案2、3本地报错是因为本地凭证（如AWS CLI配置）通常没有OpenSearch访问权限或区域配置错误，本地可继续用方案1（需OpenSearch域允许无签名访问），但Lambda环境必须使用SigV4签名方案。

内容的提问来源于stack exchange，提问作者Trisped