如何为AWS Lambda配置查询OpenSearch的细粒度权限？

问题背景 #

我配置了一个带有IAM主用户角色的AWS OpenSearch集群，核心需求如下：

• Lambda既要能查询OpenSearch，又能访问DynamoDB等其他AWS服务
• OpenSearch的主用户角色保持零权限，不做任何修改

当前采用的方案是让Lambda调用assumeRole获取主用户角色权限后再查询OpenSearch，但存在明显问题：

• 角色切换步骤冗余，执行效率低
• Lambda会获取到OpenSearch的全部权限，我希望只授予细粒度权限（比如仅es:ESHttpGet）

尝试按照AWS文档配置OpenSearch域的基于资源的访问策略（如下），但只有主角色能访问域，其他身份完全无法生效：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:*",
      "Resource": "arn:aws:es:eu-west-1:REDACTED:domain/*/*"
    }
  ]
}

正确配置方案 #

1. 修正OpenSearch域的资源访问策略 #

你之前的策略核心问题是资源ARN格式错误：OpenSearch域的资源ARN必须指定具体域名，格式为arn:aws:es:区域:账号ID:domain/域名/*，而非domain/*/*。以下是细粒度权限的正确配置示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::REDACTED:role/你的Lambda执行角色ARN"
      },
      "Action": "es:ESHttpGet",
      "Resource": "arn:aws:es:eu-west-1:REDACTED:domain/你的集群域名/*"
    }
  ]
}

• 把Principal指定为你的Lambda执行角色ARN，避免给所有AWS身份开放权限
• Action按需设置为es:ESHttpGet等具体操作，实现细粒度控制
• Resource必须明确到具体集群域名，否则无法匹配生效

2. 给Lambda执行角色附加权限策略 #

在Lambda的执行角色中，添加允许访问OpenSearch和DynamoDB的IAM权限（这是IAM层面的权限，需要和OpenSearch域策略配合生效）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "es:ESHttpGet",
      "Resource": "arn:aws:es:eu-west-1:REDACTED:domain/你的集群域名/*"
    },
    {
      "Effect": "Allow",
      "Action": "dynamodb:GetItem",
      "Resource": "arn:aws:dynamodb:eu-west-1:REDACTED:table/你的DynamoDB表名"
    }
  ]
}

• 按需调整DynamoDB的操作权限（比如仅dynamodb:GetItem）和资源范围

3. 放弃assumeRole方案 #

直接使用Lambda自身的执行角色访问OpenSearch是更优选择：

• 无需额外的角色切换步骤，提升执行效率
• 通过IAM策略+OpenSearch域策略的双重控制，精准实现细粒度权限授权

内容的提问来源于stack exchange，提问作者fblundun