基于Spring应用代理实现AWS Kibana安全访问的POC问题

你已经把基础流程跑通了——页面能加载说明代理逻辑和IAM IP限制都没问题，Dev Tools查询失败大概率是请求头缺失或者RESTTemplate配置没适配Kibana的请求要求。下面是我整理的排查和解决步骤：

1. 必须转发的关键请求头 #

Kibana的Dev Tools依赖几个特定请求头，尤其是：

• kbn-xsrf: Kibana用来防CSRF的核心头，所有写操作（包括Dev Tools的查询）都要求这个头存在，值设为true即可。
• Content-Type: 如果请求体是JSON格式，这个头必须设为application/json，否则Kibana/ES会无法解析请求内容。
• AWS签名相关头：如果你的IAM认证基于请求签名，要确保X-Amz-Security-Token、X-Amz-Date这类头被完整复制。

建议在代理类里复制所有请求头（除了Host这类目标服务专属头），避免遗漏：

public ResponseEntity<String> proxyKibanaRequest(HttpServletRequest request, @RequestBody(required = false) String requestBody) throws URISyntaxException {
    String targetKibanaUrl = "https://your-kibana-domain" + request.getRequestURI();
    HttpHeaders forwardHeaders = new HttpHeaders();
    
    // 复制原请求的所有头
    Enumeration<String> headerNames = request.getHeaderNames();
    while (headerNames.hasMoreElements()) {
        String headerName = headerNames.nextElement();
        // 跳过Host头，避免和目标Kibana的Host冲突
        if (!"Host".equalsIgnoreCase(headerName)) {
            forwardHeaders.add(headerName, request.getHeader(headerName));
        }
    }
    
    // 兜底添加kbn-xsrf头（如果原请求没带的话）
    if (!forwardHeaders.containsKey("kbn-xsrf")) {
        forwardHeaders.set("kbn-xsrf", "true");
    }
    
    HttpEntity<String> requestEntity = new HttpEntity<>(requestBody, forwardHeaders);
    // 严格按照原请求的HTTP方法转发
    return restTemplate.exchange(new URI(targetKibanaUrl), 
                                 HttpMethod.valueOf(request.getMethod()), 
                                 requestEntity, 
                                 String.class);
}

2. 确保RESTTemplate支持所有HTTP方法 #

默认的RestTemplate对PUT/DELETE这类方法的支持有限，而Dev Tools的查询可能用到POST甚至PUT请求，建议用HttpComponentsClientHttpRequestFactory扩展支持：

@Bean
public RestTemplate kibanaProxyRestTemplate() {
    HttpComponentsClientHttpRequestFactory factory = new HttpComponentsClientHttpRequestFactory();
    // 可根据业务需求配置超时时间
    factory.setConnectTimeout(5000);
    factory.setReadTimeout(15000);
    
    RestTemplate restTemplate = new RestTemplate(factory);
    // 添加JSON消息转换器，确保请求体正确序列化/反序列化
    restTemplate.getMessageConverters().add(new MappingJackson2HttpMessageConverter());
    return restTemplate;
}

3. 检查IAM权限配置 #

除了IP限制，还要确保代理服务使用的IAM角色/用户有执行ES查询的权限。Dev Tools的查询通常对应es:ESHttpPost、es:ESHttpGet等动作，政策示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "es:ESHttpGet",
                "es:ESHttpPost",
                "es:ESHttpPut",
                "es:ESHttpDelete"
            ],
            "Resource": "arn:aws:es:your-region:your-account-id:domain/your-kibana-domain/*"
        }
    ]
}

4. 对比请求差异排查 #

如果上面的步骤还没解决问题，用浏览器开发者工具做个对比：

• 先直接访问Kibana，在Dev Tools执行一个查询，记录下请求的所有头、请求体、HTTP方法。
• 再通过你的Spring代理执行同样的查询，对比两者的请求差异，通常就能找到缺失的头或者参数。

内容的提问来源于stack exchange，提问作者Paddy Mahadeva