从Fargate任务连接AWS ES/OpenSearch：命令行CURL请求权限异常排查

这个问题的核心原因其实很简单：你的Symfony应用在访问ES/OpenSearch时自动完成了IAM请求签名，而你手动用curl执行请求时，并没有携带任何身份凭证，所以ES把你识别成了匿名用户，触发了权限拒绝。

为什么Symfony应用能正常访问？ #

Symfony（PHP）应用应该是借助了AWS SDK（比如aws/aws-sdk-php），这个SDK会自动从Fargate任务的IAM角色中获取临时访问凭证，然后按照AWS的签名规范，给每个发送到ES的请求加上签名信息。ES收到请求后，会验证这个签名，确认请求来自已授权的IAM角色，所以允许访问。

为什么手动curl会失败？ #

当你通过exec进入容器执行curl时，这个curl请求是未签名的——它没有携带任何能证明你身份的IAM凭证或签名信息。ES无法识别这个请求的身份，就默认把它当成匿名用户，而你的IAM策略并没有给匿名用户授权，所以就返回了User: anonymous is not authorized to perform: es:ESHttpGet的错误。

解决办法 #

要让手动curl请求也能成功访问ES，你需要给请求加上IAM签名，这里有两种简单的方式：

1. 使用AWS CLI发送请求（推荐）

如果你的容器里已经安装了AWS CLI，直接用它来发送ES请求即可——AWS CLI会自动从Fargate任务的IAM角色获取凭证并签名请求。比如：

# 示例：获取ES域的基本信息
aws es describe-domain --domain-name your-es-domain-name

如果需要发送自定义的GET请求（比如查询索引），可以用AWS CLI的sign功能生成签名后的curl命令：

# 生成签名后的curl命令，替换成你的ES endpoint和路径
aws sign curl --url https://your-es-endpoint.us-east-1.es.amazonaws.com/_cat/indices?v

执行这个命令后，会输出一个已经签好名的curl命令，直接运行就能成功访问。

2. 手动获取临时凭证并签名（适合自定义请求）

如果容器里没有AWS CLI，你可以先从Fargate的元数据服务获取临时凭证：

# 获取容器的IAM角色临时凭证
curl 169.254.170.2$AWS_CONTAINER_CREDENTIALS_RELATIVE_URI

返回的结果里会包含AccessKeyId、SecretAccessKey和SessionToken，然后你需要按照AWS的签名版本4规范，给curl请求添加签名头。不过这个过程比较繁琐，除非你有特殊需求，否则更推荐用AWS CLI的方式。

注意事项 #

• 不要为了测试就给ES开放匿名访问权限，这会带来严重的安全风险。
• Fargate任务的IAM角色权限是作用于任务层面，但每个请求都需要单独签名才能被ES识别，这是AWS ES/OpenSearch IAM认证的要求，不是Fargate的问题。

内容的提问来源于stack exchange，提问作者Frank Drebin