AppSync连接ElasticSearch/OpenSearch数据源报Forbidden错误如何解决

该403错误为OpenSearch侧拒绝AppSync的访问请求导致，可按以下优先级逐一排查：

• 校验OpenSearch域的访问策略

OpenSearch本身存在独立的资源访问控制策略，仅为AppSync关联的IAM角色配置es相关权限不足，需确认OpenSearch域的访问策略中允许AppSyncESServiceRole的ARN执行对应操作。合法的策略片段参考：

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "AppSyncESServiceRole的完整ARN"
  },
  "Action": "es:*",
  "Resource": "OpenSearch域完整ARN/*"
}

• 核对环境变量参数正确性
  确认.env文件中配置的OPEN_SEARCH_ARN为OpenSearch域的完整ARN，而非访问端点地址。ARN的标准格式为arn:aws:es:us-east-1:账号ID:domain/域名，填写错误会导致IAM角色的权限规则匹配失效，实际请求无权限。
• 检查细粒度访问控制（FGAC）配置
  如果OpenSearch域开启了细粒度访问控制，需要进入OpenSearch Dashboard，在安全-角色页面选择匹配业务权限的角色（查询场景可选择只读角色，全操作场景可选择all_access），在角色映射配置中添加AppSyncESServiceRole的ARN作为授权用户，否则FGAC会直接拦截请求返回403。
• 验证IAM角色权限有效性
  可通过AWS CLI模拟AppSync角色的访问请求验证权限是否配置正确：

1. 执行aws sts assume-role --role-arn <AppSyncESServiceRole ARN> --role-session-name test-opensearch获取临时访问凭证
2. 使用生成的临时凭证发起OpenSearch查询请求，若依然返回403则说明IAM或OpenSearch侧的权限配置存在错误，需重新核对。

内容的提问来源于stack exchange，提问作者Chamith Madusanka