AWS ElasticSearch搭配Kibana IP或资源访问策略失效问题咨询

这个报错不代表Kibana强制要求身份认证，也不是必须使用AWS Cognito才能解决，绝大多数情况是访问策略配置存在遗漏，可按照以下步骤逐一排查：

1. 核对IP访问策略配置 #

• 公网访问场景下，访问策略中必须填写你的公网出口IP，内网IP无法生效，若网络存在出口IP漂移特性也会导致策略临时失效
• 若ES域为VPC部署模式，必须确保访问Kibana的设备与ES域在同一VPC内，或已配置合法的VPC互通通路，VPC模式下默认不支持公网直接访问，仅配置公网IP策略不生效

2. 检查精细访问控制配置 #

• 若ES域开启了精细访问控制（Fine-grained access control），即使配置了IP白名单，默认也会要求携带身份凭证访问，可选择两种处理方案：
  • 测试环境可直接关闭精细访问控制，即可兼容IP白名单匿名访问
  • 生产环境可在精细访问控制的角色映射配置中，给对应IP范围的访问主体授予es_*相关操作权限

3. 确认配置实际生效状态 #

• 登录AWS控制台进入对应ES域的「访问策略」标签页，核对实际生效的策略是否和serverless.yaml中配置的一致，常出现因为部署权限不足、配置语法错误导致策略未成功更新的问题
• 参考标准IP白名单访问策略配置示例（需替换对应占位参数）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:*",
      "Resource": "arn:aws:es:<区域ID>:<账号ID>:domain/<ES域名>/*",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": "<公网IP>/32"
        }
      }
    }
  ]
}

4. 排查客户端请求异常 #

• 部分浏览器插件会自动携带无效的Authorization请求头，导致ES识别为非法身份，可尝试用无痕模式访问排查该问题
  只有当你需要实现多用户权限管控、SSO单点登录等场景时，才需要配置AWS Cognito，纯IP白名单匿名访问无需依赖Cognito即可实现。
  内容的提问来源于stack exchange，提问作者Turtles