CDK配置ElasticSearch的AccessPolicies导致堆栈部署失败如何解决？

问题根因 #

你遇到的报错由两个核心问题共同导致：

1. 代码中构造ES域资源ARN时存在语法错误，生成的ARN不符合AWS规范，导致访问策略配置失败
2. 未正确配置Amazon Elasticsearch服务的服务关联角色，服务本身缺少查询VPC子网、安全组等资源的必要权限

修复步骤 #

• 第一步：修正ARN拼写错误
  你当前使用的C#字符串插值语法错误，多写了多余的$符号，导致最终生成的资源ARN无效，请修改AccessPolicies中的Resources配置：

// 修正前错误写法
Resources = new string[] { $"arn:aws:es:${context.Scope.Region}:${context.Scope.Account}:domain/{domainName}/*" }
// 修正后正确写法
Resources = new string[] { $"arn:aws:es:{context.Scope.Region}:{context.Scope.Account}:domain/{domainName}/*" }

• 第二步：添加Elasticsearch服务关联角色
  在你的CDK堆栈中新增服务关联角色配置，授予Elasticsearch服务查询EC2相关资源的默认权限：

new CfnServiceLinkedRole(this, "ElasticsearchServiceSLR", new CfnServiceLinkedRoleProps
{
    AwsServiceName = "es.amazonaws.com"
});

该角色会自动关联AWS托管的默认权限策略，包含describeSubnets等操作所需的权限，无需额外手动配置权限内容。

• 第三步：（可选）优化访问策略权限范围
  你当前配置的AnyPrincipal+es:*的全权限配置安全风险极高，建议按最小权限原则收缩：
  • 若仅允许VPC内网匿名访问，可保留主体配置，将动作范围缩小到实际需要的es:ESHttp*类操作
  • 若仅允许特定IAM主体访问，将AnyPrincipal替换为对应的IAM用户/角色ARN即可，访问时使用AWS签名版本4对请求签名，不会出现匿名用户无权限的报错

修改完成后重新执行cdk deploy即可正常部署，且客户端可按访问策略配置正常调用ES接口。

内容的提问来源于stack exchange，提问作者Brandon Prudent