创建AWS Bedrock知识库失败：无法创建Amazon OpenSearch Serverless集合

问题详情 #

• 操作场景：创建带网页爬虫的AWS Bedrock知识库
• 错误提示：Failed to create the Amazon Opensearch Serverless collection
• 使用区域：悉尼（ap-southeast-2）或新加坡（ap-southeast-1）
• 已配置的权限策略：
  1. 托管策略：AmazonBedrockFullAccess
  2. 自定义策略A：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "aoss:CreateAccessPolicy",
                  "aoss:CreateSecurityPolicy",
                  "aoss:CreateCollection"
              ],
              "Resource": "*"
          }
      ]
  }
  

  3. 自定义策略B：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "aws-marketplace:ViewSubscriptions",
                  "aws-marketplace:Unsubscribe",
                  "aws-marketplace:Subscribe"
              ],
              "Resource": "*"
          }
      ]
  }
  

1. 补充OpenSearch Serverless必要权限 #

当前自定义策略A缺少创建集合过程中Bedrock后台调用的关键操作权限，更新策略A为：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "aoss:CreateAccessPolicy",
                "aoss:CreateSecurityPolicy",
                "aoss:CreateCollection",
                "aoss:ListCollections",
                "aoss:ListAccessPolicies",
                "aoss:ListSecurityPolicies",
                "aoss:GetCollection",
                "aoss:GetAccessPolicy",
                "aoss:GetSecurityPolicy",
                "aoss:TagResource"
            ],
            "Resource": "*"
        }
    ]
}

2. 检查区域服务状态 #

确认目标区域（悉尼/新加坡）的OpenSearch Serverless和Bedrock服务是否正常运行，可通过AWS控制台的服务状态页面查看实时状态。

3. 验证账户配额 #

进入OpenSearch Serverless控制台的「配额」页面，检查目标区域的集合创建配额是否已用尽，若配额不足需提交扩容申请。

4. 通过CloudTrail日志定位具体错误 #

在CloudTrail控制台选择对应区域，搜索事件名称为CreateCollection的操作，查看失败事件中的errorCode和errorMessage字段，获取精准错误原因（如权限细节缺失、资源冲突等）。

5. 检查VPC配置（若启用） #

如果创建知识库时指定了VPC访问：

• 确认VPC安全组允许Bedrock访问OpenSearch Serverless的端口
• 核实OpenSearch Serverless的VPC端点配置及关联权限策略是否正确

内容的提问来源于stack exchange，提问作者Poor programmer