Lambda发送AWS OpenSearch请求超时及403安全令牌无效问题咨询

一、403「安全令牌无效」报错修复方案 #

• 优先修正签名服务名：你当前AWS4Auth初始化时传入的服务名是opensearchservice，这是OpenSearch管控API的服务名，数据平面HTTP请求的签名服务名应为es，修改该参数即可解决90%的同类签名错误。
• 调整凭证初始化位置：你现在把凭证、awsauth的初始化逻辑写在了lambda_handler外部，Lambda冷启动生成的临时凭证过期后不会自动刷新，后续所有请求都会返回403，把这两行代码移到lambda_handler函数内部即可。
• 补全Lambda执行角色权限：给Lambda绑定的执行角色附加OpenSearch写入权限，示例策略如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["es:ESHttpPost", "es:ESHttpPut"],
            "Resource": "arn:aws:es:us-east-1:<你的AWS账号ID>:domain/<你的OpenSearch域名>/*"
        }
    ]
}

• 调整OpenSearch访问策略：仅加VPC CIDR白名单无法覆盖IAM身份校验，需要在访问策略中添加Lambda执行角色ARN的访问权限，示例片段如下：

{
    "Effect": "Allow",
    "Principal": {"AWS": "<你的Lambda执行角色ARN>"},
    "Action": "es:*",
    "Resource": "arn:aws:es:us-east-1:<你的AWS账号ID>:domain/<你的OpenSearch域名>/*"
}

二、请求超时问题修复方案 #

• 修正Bulk API调用逻辑：OpenSearch的_bulk接口不支持直接传入文档数组，要求请求体为ndjson格式：奇数行是操作元数据，偶数行是文档内容，每行用换行符分隔。正确构造逻辑示例：

bulk_content = ""
for msg in messages:
    # 写入操作元数据行
    bulk_content += json.dumps({"index": {"_index": "messages", "_id": str(msg["_id"])}}) + "\n"
    # 写入文档内容行
    bulk_content += json.dumps(msg) + "\n"

# 发送请求时指定Content-Type为x-ndjson，用data参数传构造好的bulk内容
requests.post(
    os.environ['ELASTIC_HOST'].rstrip('/') + '/_bulk?refresh=true',
    auth=awsauth,
    headers={"Content-Type": "application/x-ndjson"},
    data=bulk_content
)

• 校验网络配置：如果你的OpenSearch是VPC内部署，确认Lambda绑定的安全组出站规则允许443端口访问OpenSearch，同时OpenSearch的安全组入站规则放开Lambda安全组的443端口访问权限。
• 检查环境变量：ELASTIC_HOST必须带https://前缀，缺省会默认走80端口导致请求被拦截超时。

内容的提问来源于stack exchange，提问作者Yash.S.Narang