能否通过assume role生成的凭证在RestHighLevelClient中实现身份认证？

该需求完全可实现，AWS Elasticsearch（现更名Amazon OpenSearch Service，兼容Elasticsearch RestHighLevelClient）支持通过IAM临时凭证做SigV4签名认证，无需依赖用户名密码的基础认证方式，通过assume role生成的BasicSessionCredentials可以直接用于请求签名，是官方推荐的安全访问方案。

首先需要在项目中引入AWS请求签名拦截器和AWS Java SDK STS相关依赖（以Maven为例）：

<!-- AWS SigV4请求签名拦截器 -->
<dependency>
    <groupId>vc.inreach.aws</groupId>
    <artifactId>aws-signing-request-interceptor</artifactId>
    <version>0.0.22</version>
</dependency>
<!-- AWS Java SDK STS 用于生成assume role临时凭证 -->
<dependency>
    <groupId>com.amazonaws</groupId>
    <artifactId>aws-java-sdk-sts</artifactId>
    <version>1.12.XXX</version>
</dependency>

1. 首先通过STS服务调用assume role接口获取临时会话凭证

// 初始化STS客户端
STSClient stsClient = STSClient.builder()
        .region(Region.of("你的AWS区域，如cn-north-1"))
        .build();

// 构造assume role请求
AssumeRoleRequest roleRequest = AssumeRoleRequest.builder()
        .roleArn("要扮演的角色ARN，如arn:aws-cn:iam::123456789012:role/your-es-access-role")
        .roleSessionName("es-access-session")
        .durationSeconds(3600) // 临时凭证有效期，最长可设为12小时
        .build();

AssumeRoleResponse roleResponse = stsClient.assumeRole(roleRequest);
Credentials stsCredentials = roleResponse.credentials();

// 转换为BasicSessionCredentials
BasicSessionCredentials sessionCredentials = new BasicSessionCredentials(
        stsCredentials.accessKeyId(),
        stsCredentials.secretAccessKey(),
        stsCredentials.sessionToken()
);

2. 配置RestHighLevelClient，添加SigV4签名拦截器
   不需要使用原来的BasicCredentialsProvider用户名密码配置，改为添加请求签名拦截器，自动为所有发往ES服务的请求添加IAM签名：

// 配置签名参数
String region = "你的ES服务所在AWS区域，如cn-north-1";
String serviceName = "es"; // 固定为es，对应AWS Elasticsearch/OpenSearch服务

// 构造签名拦截器
AWSRequestSigningApacheInterceptor interceptor = new AWSRequestSigningApacheInterceptor(
        serviceName,
        region,
        new AWSStaticCredentialsProvider(sessionCredentials)
);

// 构造RestHighLevelClient
RestClientBuilder builder = RestClient.builder(
                new HttpHost("你的ES域端点，不带http前缀，如xxx.es.cn-north-1.amazonaws.com.cn", 443, "https")
        )
        .setHttpClientConfigCallback(httpClientBuilder -> httpClientBuilder
                .addInterceptorLast(interceptor)
        );

RestHighLevelClient restHighLevelClient = new RestHighLevelClient(builder);

• 若需要自动刷新过期的临时凭证，可替换AWSStaticCredentialsProvider为STSSessionCredentialsProvider，无需手动调用assume role更新凭证，SDK会自动处理凭证刷新逻辑
• 需确保你assume的IAM角色的权限策略中包含ES服务的对应操作权限，示例最小权限如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "es:ESHttpGet",
                "es:ESHttpPost",
                "es:ESHttpPut",
                "es:ESHttpDelete"
            ],
            "Resource": "你的ES域ARN，如arn:aws-cn:es:cn-north-1:123456789012:domain/your-es-domain/*"
        }
    ]
}

• 需确保ES域的访问策略允许该IAM角色访问，无需开启域的基础认证功能

内容的提问来源于stack exchange，提问作者user1116404