Amazon OpenSearch控制台匿名用户访问及身份验证异常求助

我创建了一个面向公网的Amazon OpenSearch域，创建初期可通过主用户名和密码完成身份验证，正常访问控制台并使用Dev工具执行命令。但现在访问控制台URL时，出现以下错误：

{"Message":"User: anonymous is not authorized to perform: es:ESHttpGet because no resource-based policy allows the es:ESHttpGet action"}

且不再弹出身份验证界面（已尝试清除Cookie、使用隐身模式，均无效）。当前域访问策略如下（已添加源IP条件）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::************:root"
      },
      "Action": "es:*",
      "Resource": "arn:aws:es:us-west-2:********:domain/internetdomain/*",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": "xx.XX.abc.xyz/32"
        }
      }
    }
  ]
}

其中xx.XX.abc.xyz是我的公网IP。我有两个问题：
a) 如何恢复控制台URL的身份验证界面？
b) 如何解决匿名用户访问被拒的问题？匿名用户能否访问控制台？

此前访问策略无SourceIp条件时可正常使用，但现在无论是否添加该条件，都会出现相同错误。

针对问题a：恢复控制台身份验证界面 #

身份验证界面不弹出的核心原因是当前域的访问策略未允许HTTP基本认证的前置请求，或OpenSearch域的身份验证配置被意外修改，按以下步骤修复：

1. 检查域的身份验证配置

   • 登录AWS控制台，进入OpenSearch服务找到目标域
   • 切换到「安全配置」标签，确认「主用户名」配置存在且正常，若主用户被删除/禁用，需重新创建
   • 确认「身份验证类型」已勾选「HTTP基本认证」，未勾选则启用该选项

2. 调整访问策略，允许认证前置请求
   原策略仅允许IAM root用户通过指定IP访问，但控制台认证流程需要先允许匿名用户请求控制台入口以触发弹窗，认证通过后再以授权用户身份操作。需在策略中添加如下语句：

   {
     "Version": "2012-10-17",
     "Statement": [
       // 保留原有IAM root用户访问规则
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::************:root"
         },
         "Action": "es:*",
         "Resource": "arn:aws:es:us-west-2:********:domain/internetdomain/*",
         "Condition": {
           "IpAddress": {
             "aws:SourceIp": "xx.XX.abc.xyz/32"
           }
         }
       },
       // 添加规则：允许指定IP的匿名用户访问控制台入口，触发认证弹窗
       {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "es:ESHttpGet",
         "Resource": "arn:aws:es:us-west-2:********:domain/internetdomain/_dashboards",
         "Condition": {
           "IpAddress": {
             "aws:SourceIp": "xx.XX.abc.xyz/32"
           }
         }
       }
     ]
   }
   

针对问题b：解决匿名访问被拒及相关疑问 #

1. 匿名访问被拒的原因
   当前策略未允许任何匿名用户操作，而控制台访问的第一步是匿名请求入口路径，因此触发权限错误。此前无IP限制时正常，可能是默认策略隐含了控制台入口的匿名访问权限，后续修改策略时被误删。

2. 匿名用户能否访问控制台？
   匿名用户无法直接访问控制台功能内容，但必须允许其访问控制台入口路径（/_dashboards），才能触发HTTP基本认证弹窗。认证通过后，用户会以授权的主用户身份操作，不再处于匿名状态。

3. 彻底解决匿名访问被拒问题

   • 再次验证当前公网IP是否与xx.XX.abc.xyz/32完全匹配（部分网络使用动态NAT，IP可能变化）
   • 若IP动态变化，可调整为ISP提供的子网段，或暂时移除IP条件测试是否为IP匹配问题
   • 检查是否有其他IAM策略或AWS组织策略限制了OpenSearch的访问权限

内容的提问来源于stack exchange，提问作者Gaurav Parashar