AWS Elasticsearch访问策略配置问题：公网HTTPS Get请求失败

你踩了AWS Elasticsearch访问策略里一个常见的坑：你的策略中用"AWS": "*"作为Principal来允许es:ESHttpGet，但这个Principal仅覆盖所有AWS身份（IAM用户、角色等），并不包含匿名的公网用户——这就是公网HTTPS GET请求始终失败的核心原因。

要实现「允许任何人匿名发起HTTPS GET请求，仅指定IAM用户可执行修改操作」的需求，你需要拆分两个独立的Statement，分别处理匿名访问和IAM用户权限：

正确的访问策略示例 #

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*", // 这里用"*"而非"AWS:*"，代表匿名公网用户
      "Action": "es:ESHttpGet",
      "Resource": "arn:aws:es:你的区域:你的账号ID:domain/你的ES域名/*" // 确保覆盖所有索引路径
    },
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::你的账号ID:user/指定的IAM用户名" // 替换为你的目标IAM用户ARN
      },
      "Action": [
        "es:ESHttpPut",
        "es:ESHttpDelete",
        "es:ESHttpPost",
        "es:ESHttpHead" // 根据需要添加其他操作，比如创建索引、删除索引对应的Action
      ],
      "Resource": "arn:aws:es:你的区域:你的账号ID:domain/你的ES域名/*"
    }
  ]
}

关键细节说明 #

• 匿名访问的Principal：必须用"*"而不是"AWS:*"，前者才会匹配未签名的公网请求；后者仅匹配经过AWS签名的请求（比如你的aws-es-proxy发起的请求）。
• Resource范围：一定要加上/*后缀，确保覆盖ES域下的所有索引和路径，否则可能出现部分Get请求（比如查询特定索引）失败的情况。
• IAM用户的Action列表：根据你的实际需求调整，比如如果需要允许创建索引，es:ESHttpPut是对应的操作；删除索引对应es:ESHttpDelete，批量操作对应es:ESHttpPost等。

额外检查项 #

1. 确认你的ES域配置中，访问类型设置为「公共访问」（如果是VPC部署的ES域，需要额外配置VPC端点或NAT才能让公网访问）。
2. 如果开启了精细访问控制（Fine-Grained Access Control），还需要在Kibana或通过API配置匿名用户的索引权限，允许其读取相关索引数据——不过如果你的需求只是允许Get请求返回数据，这一步通常是必要的补充。

内容的提问来源于stack exchange，提问作者Avinash