AWS VPC中Elasticsearch API本地访问配置及密钥显示问题咨询

一、本地连VPC内ES的几种靠谱方式 #

• VPN接入VPC：搭建AWS Client VPN，把本地机器拉进VPC私有网络，就能直接通过ES的私有端点访问。注意VPN的安全组要开放ES的默认端口（9200/9300），同时ES的安全组也要允许VPN网段的访问请求。
• EC2跳板机端口转发：在VPC内启动一台带公网IP的EC2实例，用SSH做端口转发，把本地端口映射到ES端点。命令示例：ssh -L 9200:<ES私有端点>:9200 ec2-user@<EC2公网IP>，之后本地访问localhost:9200就等同于访问ES服务。
• PrivateLink+本地DNS（企业场景）：如果有本地数据中心，通过PrivateLink建立专线连接，再配置本地DNS将ES域名指向私有端点，适合长期稳定的企业级访问需求。

二、权限策略怎么选 #

• IP白名单（仅应急用，不推荐）：非要开公网访问的话，在ES访问策略里添加本地公网IP段，示例配置：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "es:*",
      "Resource": "arn:aws:es:<区域>:<账号ID>:domain/<ES域名>/*",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": ["<你的本地公网IP>/32"]
        }
      }
    }
  ]
}

• IAM认证（推荐）：用IAM用户或角色对请求签名，本地可以直接用AWS CLI的aws es命令，或者给curl请求添加IAM签名头，安全性更高。
• API密钥认证：适合脚本或特定服务访问，前提是ES已开启细粒度访问控制。创建密钥后，在请求头中携带Authorization: ApiKey <密钥内容>即可。

三、Cognito要不要配置 #

只有当你需要**给不同用户分配差异化ES权限（比如多用户协作场景）**时，才需要配置Cognito：

• 先开启ES的细粒度访问控制，选择Cognito作为身份提供者。
• 创建Cognito用户池（存储用户账号）和身份池（映射IAM角色）。
• 给ES添加访问策略，允许Cognito角色访问对应资源。
  如果只是自己本地脚本调试或管理员访问，用IAM认证或API密钥就足够，没必要折腾Cognito。

四、API密钥无法显示的解决办法 #

• 确认ES已开启细粒度访问控制：没开启的话，API密钥功能本身不可用，控制台也不会显示创建入口。
• 检查IAM权限：操作的IAM用户必须拥有es:CreateApiKey、es:ListApiKeys等权限，给IAM用户添加如下策略：

{
  "Effect": "Allow",
  "Action": [
    "es:CreateApiKey",
    "es:ListApiKeys",
    "es:DeleteApiKey"
  ],
  "Resource": "arn:aws:es:<区域>:<账号ID>:domain/<ES域名>"
}

• 用CLI创建密钥：如果控制台无法显示，直接用AWS CLI命令创建：
  aws es create-api-key --domain-name <ES域名> --name "本地访问密钥" --description "本地调用ES API专用"
  执行后会返回密钥内容，一定要保存好，因为密钥只会显示这一次。
• 检查ES版本：低于7.10的旧版本Elasticsearch不支持API密钥功能，先确认你的ES版本符合要求。

内容的提问来源于stack exchange，提问作者Sanga wp