关于AWS OpenSearch IAM访问策略评估的技术问题咨询

问题1：非无服务器场景下，策略评估是否占用集群资源？ #

• 不会占用集群分配的系统资源。IAM策略（包括IP白名单类的资源策略）的评估是在AWS前端管控平面完成的，不会触达你的OpenSearch集群节点。
• 非白名单IP发起的请求会在到达集群前就被拦截，完全不会进入集群处理流程，所以不会导致集群CPU/RAM占用升高，也不会影响正常业务性能。

问题2：IP白名单策略能否拦截Layer7 DDoS攻击？ #

• 可以拦截来自非白名单IP的Layer7 DDoS请求。这类攻击的HTTP GET请求会先经过AWS前端管控层，管控层会根据你配置的IP白名单过滤掉非授权IP的请求，不会让这些请求触达你的集群节点。
• 注意：如果攻击源IP在你的白名单范围内，IP白名单策略就无法拦截这类请求，这种情况下建议搭配专业DDoS防护服务。

问题3：未授权请求的响应由谁生成？ #

• 这个响应是由AWS外部策略评估系统生成的，不是你的OpenSearch集群直接返回的。因为未授权请求在到达集群之前就被管控层拦截了，响应信息是管控层直接返回给请求发起方的。

内容的提问来源于stack exchange，提问作者Lu1g1D