Amazon OpenSearch 服务的操作、资源和条件密钥 - 服务授权参考
操作资源类型条件键
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon OpenSearch 服务的操作、资源和条件密钥

Amazon Service（ OpenSearch 服务前缀:es）提供以下特定于服务的资源、操作和条件上下文密钥，供在 IAM 权限策略中使用。

参考：

亚马逊 OpenSearch 服务定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作 描述 访问级别 资源类型（* 为必需） 条件键 相关操作
AcceptInboundConnection 授予目标域拥有者接受入站跨集群搜索连接请求的权限 写入
AcceptInboundCrossClusterSearchConnection 授予目标域拥有者权限以接受入站跨集群搜索连接请求。此权限已弃用。 AcceptInboundConnection 改用 写入
AddDataSource 授予为 OpenSearch 服务域添加数据源的权限 写入

domain*

AddTags 授予将资源标签附加到 OpenSearch 服务域的权限 标记

domain*

aws:RequestTag/${TagKey}

aws:TagKeys

AssociatePackage 授予将包与 OpenSearch 服务域关联的权限 写入

domain*

AuthorizeVpcEndpointAccess 授予通过使用接口 VPC 终端节点提供对亚马逊 OpenSearch 服务域的访问权限 写入
CancelDomainConfigChange 授予取消 OpenSearch 服务域更改的权限 写入

domain*

CancelElasticsearchServiceSoftwareUpdate 授予权限以取消域的服务软件更新。此权限已弃用。 CancelServiceSoftwareUpdate 改用 写入

domain*

CancelServiceSoftwareUpdate 授予权限以取消域的服务软件更新 写入

domain*

CreateDomain 授予创建 Amazon OpenSearch 服务域名的权限 写入

domain

aws:RequestTag/${TagKey}

aws:TagKeys

CreateElasticsearchDomain 授予创建 OpenSearch 服务域的权限。此权限已弃用。 CreateDomain 改用 写入

domain

aws:RequestTag/${TagKey}

aws:TagKeys

CreateElasticsearchServiceRole 授予创建使用 VPC 访问权限的 OpenSearch 服务域所需的服务相关角色的权限。此权限已被弃用。 OpenSearch 服务为您创建服务相关角色 写入
CreateOutboundConnection 授予新建从源域到目标域的跨集群搜索连接的权限 写入

domain*

CreateOutboundCrossClusterSearchConnection 授予权限以新建从源域到目标域的跨集群搜索连接。此权限已弃用。 CreateOutboundConnection 改用 写入

domain*

CreatePackage 授予添加用于 OpenSearch 服务域的软件包的权限 写入
CreateServiceRole 授予创建使用 VPC 访问权限的 Amazon OpenSearch 服务域所需的服务相关角色的权限 写入
CreateVpcEndpoint 授予创建亚马逊 OpenSearch 服务托管的 VPC 终端节点的权限 写入
DeleteDataSource 授予删除 OpenSearch 服务域数据源的权限 写入

domain*

DeleteDomain 授予删除亚马逊 OpenSearch 服务域名及其所有数据的权限 写入

domain*

DeleteElasticsearchDomain 授予删除 OpenSearch 服务域及其所有数据的权限。此权限已弃用。 DeleteDomain 改用 写入

domain*

DeleteElasticsearchServiceRole 授予删除使用 VPC 访问权限的 OpenSearch 服务域所需的服务相关角色的权限。此权限已弃用。您可以使用 IAM API 删除服务相关角色 写入
DeleteInboundConnection 授予目标域拥有者删除现有入站跨集群搜索连接的权限 写入
DeleteInboundCrossClusterSearchConnection 授予目标域拥有者权限以删除现有入站跨集群搜索连接。此权限已弃用。 DeleteInboundConnection 改用 写入
DeleteOutboundConnection 授予源域拥有者删除现有出站跨集群搜索连接的权限 写入
DeleteOutboundCrossClusterSearchConnection 授予源域拥有者权限以删除现有出站跨集群搜索连接。此权限已弃用。 DeleteOutboundConnection 改用 写入
DeletePackage 授予从 OpenSearch 服务中删除包裹的权限。程序包不能与任何域关联 写入
DeleteVpcEndpoint 授予删除亚马逊 OpenSearch 服务托管接口 VPC 终端节点的权限 写入
DescribeDomain 授予权限以查看指定 OpenSearch 服务域的域配置描述，包括域 ID、服务端点和 ARN 读取

domain*

DescribeDomainAutoTunes 授予权限以查看指定 OpenSearch 服务域的域的自动调整配置，包括自动调整状态和维护计划 读取

domain*

DescribeDomainChangeProgress 授予查看 OpenSearch 服务域详情阶段进度的权限 读取

domain*

DescribeDomainConfig 授予查看 OpenSearch 服务域配置选项和状态描述的权限 读取

domain*

DescribeDomainHealth 授予权限以查看有关以下方面的信息：域和节点运行状况、备用可用区、每个可用区的节点数以及每个节点的分片数量 读取

domain*

DescribeDomainNodes 授予权限以查看为域及其配置（包括节点 ID、节点类型、节点状态、可用区、实例类型和存储）创建的节点的相关信息 读取

domain*

DescribeDomains 授予查看最多五个指定 OpenSearch 服务域的域配置描述的权限 列出

domain*

DescribeDryRunProgress 授予描述 OpenSearch 服务域更新前验证检查状态的权限 读取

domain*

DescribeElasticsearchDomain 授予权限以查看指定 OpenSearch 服务域的域配置描述，包括域 ID、服务端点和 ARN。此权限已弃用。 DescribeDomain 改用 读取

domain*

DescribeElasticsearchDomainConfig 授予查看 OpenSearch 服务域配置和状态描述的权限。此权限已弃用。 DescribeDomainConfig 改用 读取

domain*

DescribeElasticsearchDomains 授予查看最多五个指定 Amazon OpenSearch 域名的域名配置描述的权限。此权限已弃用。 DescribeDomains 改用 列出

domain*

DescribeElasticsearchInstanceTypeLimits 授予查看给定 OpenSearch 版本和实例类型的实例数量、存储空间和主节点限制的权限。此权限已弃用。 DescribeInstanceTypeLimits 改用 列出
DescribeInboundConnections 授予列出目标域的所有入站跨集群搜索连接的权限 列出
DescribeInboundCrossClusterSearchConnections 授予权限以列出目标域的所有入站跨集群搜索连接。此权限已弃用。 DescribeInboundConnections 改用 列出
DescribeInstanceTypeLimits 授予权限以查看给定引擎版本和实例类型的实例计数、存储和主节点 (master node) 限制 列出
DescribeOutboundConnections 授予列出源域的所有出站跨集群搜索连接的权限 列出
DescribeOutboundCrossClusterSearchConnections 授予权限以列出源域的所有出站跨集群搜索连接。此权限已弃用。 DescribeOutboundConnections 改用 列出
DescribePackages 授予描述 OpenSearch 服务域可用的所有软件包的权限 读取
DescribeReservedElasticsearchInstanceOfferings 授予获取 Amazon OpenSearch 服务的预留实例产品的权限。此权限已弃用。 DescribeReservedInstanceOfferings 改用 列出
DescribeReservedElasticsearchInstances 授予获取已购买的 OpenSearch 服务预留实例的权限。此权限已弃用。 DescribeReservedInstances 改用 列出
DescribeReservedInstanceOfferings 授予获取 OpenSearch 服务预留实例产品的权限 列出
DescribeReservedInstances 授予获取已购买的 OpenSearch 服务预留实例的权限 列出
DescribeVpcEndpoints 授予描述一个或多个 Amazon OpenSearch 服务托管 VPC 终端节点的权限 列出
DissociatePackage 授予将包与指定 OpenSearch 服务域解除关联的权限 写入

domain*

ESCrossClusterGet 授予权限以向目标域发送跨集群请求 读取

domain

ESHttpDelete 授予向 OpenSearch API 发送 HTTP 删除请求的权限 写入

domain

ESHttpGet 授予向 OpenSearch API 发送 HTTP GET 请求的权限 读取

domain

ESHttpHead 授予向 OpenSearch API 发送 HTTP HEAD 请求的权限 读取

domain

ESHttpPatch 授予向 OpenSearch API 发送 HTTP 补丁请求的权限 写入

domain

ESHttpPost 授予向 OpenSearch API 发送 HTTP POST 请求的权限 写入

domain

ESHttpPut 授予向 OpenSearch API 发送 HTTP PUT 请求的权限 写入

domain

GetCompatibleElasticsearchVersions 授予获取可将 OpenSearch 服务域升级到的兼容版本 OpenSearch 和 Elasticsearch 版本列表的权限。此权限已弃用。 GetCompatibleVersions 改用 列出

domain*

GetCompatibleVersions 授予获取可升级 OpenSearch 服务域的兼容引擎版本列表的权限 列出

domain*

GetDataSource 授予获取 OpenSearch 服务域数据源的权限 读取

domain*

GetDomainMaintenanceStatus 授予权限以检索节点的维护操作状态 读取

domain*

GetPackageVersionHistory 授予获取软件包版本历史记录的权限 读取
GetUpgradeHistory 授予获取给定 OpenSearch 服务域升级历史记录的权限 读取

domain*

GetUpgradeStatus 授予获取给定 OpenSearch 服务域升级状态的权限 读取

domain*

ListDataSources 授予检索 OpenSearch 服务域数据源列表的权限 列出

domain*

ListDomainMaintenances 授予检索 OpenSearch 服务域维护操作列表的权限 列出

domain*

ListDomainNames 授予显示当前用户拥有的所有 OpenSearch 服务域名的权限 列出
ListDomainsForPackage 授予列出与软件包关联的所有 OpenSearch 服务域的权限 列出
ListElasticsearchInstanceTypeDetails 授予列出给定 OpenSearch 版本的所有实例类型和可用功能的权限。此权限已弃用。 ListInstanceTypeDetails 改用 列出
ListElasticsearchInstanceTypes 授予列出给定 OpenSearch 版本支持的所有 EC2 实例类型的权限 列出
ListElasticsearchVersions 授予在 Amazon OpenSearch 服务上列出所有受支持 OpenSearch 版本的权限。此权限已弃用。 ListVersions 改用 列出
ListInstanceTypeDetails 授予列出给定版本 OpenSearch 或 Elasticsearch 版本的所有实例类型和可用功能的权限 列出
ListPackagesForDomain 授予列出与 OpenSearch 服务域关联的所有软件包的权限 列出

domain*

ListScheduledActions 授予权限以检索为 OpenSearch 服务域安排的配置更改列表 列出

domain*

ListTags 授予显示 OpenSearch 服务域所有资源标签的权限 读取

domain*

ListVersions 授予在亚马逊服务中列出所有支持的版本 OpenSearch 和 Elasticsearch 版本的权限 OpenSearch 列出
ListVpcEndpointAccess 授予权限以检索有关允许通过使用接口 VPC 终端节点访问给定 Amazon Serv OpenSearch ice 域的每位 Amazon 委托人的信息 列出
ListVpcEndpoints 授予在当前 Amazon Web Services 账户 和地区检索所有 Amazon OpenSearch Service 托管 VPC 终端节点的权限 列出
ListVpcEndpointsForDomain 授予权限以检索与特定域关联的所有 Ama OpenSearch zon Service 托管 VPC 终端节点 列出
PurchaseReservedElasticsearchInstanceOffering 授予购买 OpenSearch 服务预留实例的权限。此权限已弃用。 PurchaseReservedInstanceOffering 改用 写入
PurchaseReservedInstanceOffering 授予购买 OpenSearch 预留实例的权限 写入
RejectInboundConnection 授予目标域拥有者拒绝入站跨集群搜索连接请求的权限 写入
RejectInboundCrossClusterSearchConnection 授予目标域拥有者权限以拒绝入站跨集群搜索连接请求。此权限已弃用。 RejectInboundConnection 改用 写入
RemoveTags 授予从 OpenSearch 服务域中移除资源标签的权限 标记

domain*

aws:TagKeys

RevokeVpcEndpointAccess 授予撤销通过接口 VPC 终端节点提供的亚马逊 OpenSearch 服务域访问权限的权限 写入
StartDomainMaintenance 授予权限以启动节点维护操作 写入

domain*

StartElasticsearchServiceSoftwareUpdate 授予权限以开启域的服务软件更新。此权限已弃用。 StartServiceSoftwareUpdate 改用 写入

domain*

StartServiceSoftwareUpdate 授予权限以开启域的服务软件更新 写入

domain*

UpdateDataSource 授予更新 OpenSearch 服务域数据源的权限 写入

domain*

UpdateDomainConfig 授予修改 OpenSearch 服务域配置的权限，例如实例类型或实例数量 写入

domain*

UpdateElasticsearchDomainConfig 授予修改 OpenSearch 服务域配置的权限，例如实例类型或实例数量。此权限已弃用。 UpdateDomainConfig 改用 写入

domain*

UpdatePackage 授予更新软件包以用于 OpenSearch 服务域的权限 写入
UpdateScheduledAction 授予在以后重新安排计划中的 OpenSearch 服务域配置更改的权限 写入

domain*

UpdateVpcEndpoint 授予修改亚马逊 OpenSearch 服务托管接口 VPC 终端节点的权限 写入
UpgradeDomain 授予权限以启动将 OpenSearch 服务域升级到给定版本 写入

domain*

UpgradeElasticsearchDomain 授予启动将 OpenSearch 服务域升级到指定版本的权限。此权限已弃用。 UpgradeDomain 改用 写入

domain*

由 Amazon OpenSearch 服务定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型 ARN 条件键
domain arn:${Partition}:es:${Region}:${Account}:domain/${DomainName}

aws:ResourceTag/${TagKey}

es_role arn:${Partition}:iam::${Account}:role/aws-service-role/es.amazonaws.com/AWSServiceRoleForAmazonOpenSearchService

aws:ResourceTag/${TagKey}

opensearchservice_role arn:${Partition}:iam::${Account}:role/aws-service-role/opensearchservice.amazonaws.com/AWSServiceRoleForAmazonOpenSearchService

aws:ResourceTag/${TagKey}

Amazon OpenSearch 服务的条件密钥

Amazon S OpenSearch ervice 定义了以下条件键，这些条件键可用于 IAM 策略的Condition元素中。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键 描述 类型
aws:RequestTag/${TagKey} 根据在请求中传递的标签筛选访问 字符串
aws:ResourceTag/${TagKey} 根据与资源关联的标签筛选访问 字符串
aws:TagKeys 根据在请求中传递的标签键筛选访问 ArrayOfString