为何Lambda向OpenSearch索引添加文档时提示无权限？如何解决？

为什么AmazonOpenSearchServiceFullAccess权限不够？ #

当OpenSearch启用**细粒度访问控制（FGAC）**时，权限分为两层独立控制：

1. AWS IAM策略：仅负责验证实体（比如Lambda角色）是否有权调用OpenSearch的API接口，AmazonOpenSearchServiceFullAccess确实能让Lambda访问OpenSearch服务，但这只是第一层验证。
2. OpenSearch内部安全插件权限：FGAC启用后，OpenSearch自身的安全插件会接管具体的索引操作权限（比如写入、查询），这部分权限需要单独配置，IAM策略无法直接覆盖。

你遇到的错误，本质是OpenSearch安全插件未给Lambda角色（my_lambda_role）授予indices:data/write/index（索引写入）权限，和IAM策略无关。

解决步骤 #

1. 登录OpenSearch Dashboard #

访问你的OpenSearch域名对应的Dashboard地址（格式：https://<你的域名>/_dashboards），使用启用FGAC时设置的管理员账号登录。

2. 创建或编辑OpenSearch角色 #

• 左侧菜单进入 Security -> Roles
• 点击 Create role 创建新角色（比如命名为lambda_index_writer），或选择已有角色进行编辑

3. 配置索引权限 #

• 在 Index permissions 区域：
  • 输入索引模式：填写目标索引名my_index，或用*匹配所有索引
  • 在Permissions列表中，勾选以下写入相关权限：
    • indices:data/write/index
    • indices:data/write/create（确保能创建新文档）
    • indices:admin/create（若需要自动创建索引则勾选）

4. 关联Lambda的IAM角色到OpenSearch角色 #

• 切换到 Mapped users 标签页
• 点击 Manage mapping
• 在 Backend roles 输入框中，填入Lambda执行角色的名称（my_lambda_role）或完整ARN（比如arn:aws:iam::123456789012:role/my_lambda_role）
• 点击 Map 完成关联

5. 验证权限 #

重新运行Lambda函数，此时应该能正常将数据写入OpenSearch。

额外提示 #

若不想通过Dashboard配置，也可使用OpenSearch REST API设置角色和权限（需用管理员身份认证），示例请求如下：

PUT _security/role/lambda_index_writer
{
  "indices": [
    {
      "names": ["my_index"],
      "privileges": ["indices:data/write/index", "indices:data/write/create"]
    }
  ],
  "backend_roles": ["my_lambda_role"]
}

内容的提问来源于stack exchange，提问作者Kraken