Amazon OpenSearch 服务的操作、资源和条件密钥 - 服务授权参考
操作资源类型条件键
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon OpenSearch 服务的操作、资源和条件密钥

Amazon Service（ OpenSearch 服务前缀:es）提供以下特定于服务的资源、操作和条件上下文密钥，供在IAM权限策略中使用。

参考：

亚马逊 OpenSearch 服务定义的操作

您可以在 Action 策略语句的 IAM 元素中指定以下操作。可以使用策略授予在 Amazon中执行操作的权限。当您在策略中使用操作时，通常会允许或拒绝访问具有相同名称的API操作或CLI命令。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。如果该列包含资源类型，则可以在带有该操作ARN的语句中指定该类型的资源类型。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您使用IAM策略中的Resource元素限制资源访问权限，则必须为每种必需的资源类型包含ARN或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作 描述 访问级别 资源类型（* 为必需） 条件键 相关操作
AcceptInboundConnection 授予目标域拥有者接受入站跨集群搜索连接请求的权限 写入
AcceptInboundCrossClusterSearchConnection 授予目标域拥有者权限以接受入站跨集群搜索连接请求。此权限已弃用。 AcceptInboundConnection 改用 写入
AddDataSource 授予为 OpenSearch 服务域添加数据源的权限 写入

domain*

AddDirectQueryDataSource 授予为所提供的 OpenSearch arn 添加数据源的权限 写入

datasource*

aws:RequestTag/${TagKey}

aws:TagKeys

AddTags 授予将资源标签附加到 OpenSearch 服务域、数据源或应用程序的权限 标记

application*

datasource*

domain*

aws:RequestTag/${TagKey}

aws:TagKeys

AssociatePackage 授予将包与 OpenSearch 服务域关联的权限 写入

domain*

AssociatePackages 授予将多个包与 OpenSearch 服务域关联的权限 写入

domain*

AuthorizeVpcEndpointAccess 授予通过使用接口VPC终端节点提供对 Amazon OpenSearch 服务域的访问权限的权限 写入
CancelDomainConfigChange 授予取消 OpenSearch 服务域更改的权限 写入

domain*

CancelElasticsearchServiceSoftwareUpdate 授予权限以取消域的服务软件更新。此权限已弃用。 CancelServiceSoftwareUpdate 改用 写入

domain*

CancelServiceSoftwareUpdate 授予权限以取消域的服务软件更新 写入

domain*

CreateApplication 授予创建 OpenSearch 应用程序的权限 写入

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDomain 授予创建 Amazon OpenSearch 服务域名的权限 写入

domain

aws:RequestTag/${TagKey}

aws:TagKeys

CreateElasticsearchDomain 授予创建 OpenSearch 服务域的权限。此权限已弃用。 CreateDomain 改用 写入

domain

aws:RequestTag/${TagKey}

aws:TagKeys

CreateElasticsearchServiceRole 授予创建使用VPC访问权限的服务域所需的 OpenSearch 服务相关角色的权限。此权限已被弃用。 OpenSearch 服务为您创建服务相关角色 写入
CreateOutboundConnection 授予新建从源域到目标域的跨集群搜索连接的权限 写入

domain*

CreateOutboundCrossClusterSearchConnection 授予权限以新建从源域到目标域的跨集群搜索连接。此权限已弃用。 CreateOutboundConnection 改用 写入

domain*

CreatePackage 授予添加用于 OpenSearch 服务域的软件包的权限 写入
CreateServiceRole 授予创建使用VPC访问权限的 Amazon Service 域所需的 OpenSearch 服务相关角色的权限 写入
CreateVpcEndpoint 授予创建亚马逊 OpenSearch 服务托管终端节点VPC的权限 写入
DeleteApplication 授予删除 OpenSearch 应用程序的权限 写入

application*

DeleteDataSource 授予删除 OpenSearch 服务域数据源的权限 写入

domain*

DeleteDirectQueryDataSource 授予删除所提供的 OpenSearch arn 的数据源的权限 写入

datasource*

DeleteDomain 授予删除亚马逊 OpenSearch 服务域名及其所有数据的权限 写入

domain*

DeleteElasticsearchDomain 授予删除 OpenSearch 服务域及其所有数据的权限。此权限已弃用。 DeleteDomain 改用 写入

domain*

DeleteElasticsearchServiceRole 授予删除使用VPC访问权限的服务域所需的 OpenSearch 服务相关角色的权限。此权限已弃用。使用IAMAPI删除服务相关角色 写入
DeleteInboundConnection 授予目标域拥有者删除现有入站跨集群搜索连接的权限 写入
DeleteInboundCrossClusterSearchConnection 授予目标域拥有者权限以删除现有入站跨集群搜索连接。此权限已弃用。 DeleteInboundConnection 改用 写入
DeleteOutboundConnection 授予源域拥有者删除现有出站跨集群搜索连接的权限 写入
DeleteOutboundCrossClusterSearchConnection 授予源域拥有者权限以删除现有出站跨集群搜索连接。此权限已弃用。 DeleteOutboundConnection 改用 写入
DeletePackage 授予从 OpenSearch 服务中删除包裹的权限。程序包不能与任何域关联 写入
DeleteVpcEndpoint 授予删除亚马逊 OpenSearch 服务托管接口VPC终端节点的权限 写入
DescribeDomain 授予权限以查看指定 OpenSearch 服务域的域配置描述，包括域 ID、服务端点和 ARN 读取

domain*

DescribeDomainAutoTunes 授予权限以查看指定 OpenSearch 服务域的域的自动调整配置，包括自动调整状态和维护计划 读取

domain*

DescribeDomainChangeProgress 授予查看 OpenSearch 服务域详情阶段进度的权限 读取

domain*

DescribeDomainConfig 授予查看 OpenSearch 服务域配置选项和状态描述的权限 读取

domain*

DescribeDomainHealth 授予权限以查看有关以下方面的信息：域和节点运行状况、备用可用区、每个可用区的节点数以及每个节点的分片数量 读取

domain*

DescribeDomainNodes 授予权限以查看为域及其配置（包括节点 ID、节点类型、节点状态、可用区、实例类型和存储）创建的节点的相关信息 读取

domain*

DescribeDomains 授予查看最多五个指定 OpenSearch 服务域的域配置描述的权限 列出

domain*

DescribeDryRunProgress 授予描述 OpenSearch 服务域更新前验证检查状态的权限 读取

domain*

DescribeElasticsearchDomain 授予权限以查看指定 OpenSearch 服务域的域配置描述，包括域 ID、服务端点和ARN。此权限已弃用。 DescribeDomain 改用 读取

domain*

DescribeElasticsearchDomainConfig 授予查看 OpenSearch 服务域配置和状态描述的权限。此权限已弃用。 DescribeDomainConfig 改用 读取

domain*

DescribeElasticsearchDomains 授予查看最多五个指定 Amazon OpenSearch 域名的域名配置描述的权限。此权限已弃用。 DescribeDomains 改用 列出

domain*

DescribeElasticsearchInstanceTypeLimits 授予查看给定 OpenSearch 版本和实例类型的实例数量、存储空间和主节点限制的权限。此权限已弃用。 DescribeInstanceTypeLimits 改用 列出
DescribeInboundConnections 授予列出目标域的所有入站跨集群搜索连接的权限 列出
DescribeInboundCrossClusterSearchConnections 授予权限以列出目标域的所有入站跨集群搜索连接。此权限已弃用。 DescribeInboundConnections 改用 列出
DescribeInstanceTypeLimits 授予权限以查看给定引擎版本和实例类型的实例计数、存储和主节点 (master node) 限制 列出
DescribeOutboundConnections 授予列出源域的所有出站跨集群搜索连接的权限 列出
DescribeOutboundCrossClusterSearchConnections 授予权限以列出源域的所有出站跨集群搜索连接。此权限已弃用。 DescribeOutboundConnections 改用 列出
DescribePackages 授予描述 OpenSearch 服务域可用的所有软件包的权限 读取
DescribeReservedElasticsearchInstanceOfferings 授予获取 Amazon OpenSearch 服务的预留实例产品的权限。此权限已弃用。 DescribeReservedInstanceOfferings 改用 列出
DescribeReservedElasticsearchInstances 授予获取已购买的 OpenSearch 服务预留实例的权限。此权限已弃用。 DescribeReservedInstances 改用 列出
DescribeReservedInstanceOfferings 授予获取 OpenSearch 服务预留实例产品的权限 列出
DescribeReservedInstances 授予获取已购买的 OpenSearch 服务预留实例的权限 列出
DescribeVpcEndpoints 授予描述一个或多个 Amazon OpenSearch 服务托管VPC终端节点的权限 列出
DissociatePackage 授予将包与指定 OpenSearch 服务域解除关联的权限 写入

domain*

DissociatePackages 授予将多个包与指定 OpenSearch 服务域解除关联的权限 写入

domain*

ESCrossClusterGet 授予权限以向目标域发送跨集群请求 读取

domain

ESHttpDelete 授予向发送HTTPDELETE请求的权限 OpenSearch APIs 写入

domain

ESHttpGet 授予向发送HTTPGET请求的权限 OpenSearch APIs 读取

domain

ESHttpHead 授予向发送HTTPHEAD请求的权限 OpenSearch APIs 读取

domain

ESHttpPatch 授予向发送HTTPPATCH请求的权限 OpenSearch APIs 写入

domain

ESHttpPost 授予向发送HTTPPOST请求的权限 OpenSearch APIs 写入

domain

ESHttpPut 授予向发送HTTPPUT请求的权限 OpenSearch APIs 写入

domain

GetApplication 授予获取有关 OpenSearch 应用程序信息的权限 读取

application*

GetCompatibleElasticsearchVersions 授予获取可将 OpenSearch 服务域升级到的兼容版本 OpenSearch 和 Elasticsearch 版本列表的权限。此权限已弃用。 GetCompatibleVersions 改用 列出

domain*

GetCompatibleVersions 授予获取可升级 OpenSearch 服务域的兼容引擎版本列表的权限 列出

domain*

GetDataSource 授予获取 OpenSearch 服务域数据源的权限 读取

domain*

GetDirectQueryDataSource 授予获取所提供的 OpenSearch arn 的数据源的权限 读取

datasource*

GetDomainMaintenanceStatus 授予权限以检索节点的维护操作状态 读取

domain*

GetPackageVersionHistory 授予获取软件包版本历史记录的权限 读取
GetUpgradeHistory 授予获取给定 OpenSearch 服务域升级历史记录的权限 读取

domain*

GetUpgradeStatus 授予获取给定 OpenSearch 服务域升级状态的权限 读取

domain*

ListApplications 授予列出 OpenSearch 应用程序的权限 列出

application*

ListDataSources 授予检索 OpenSearch 服务域数据源列表的权限 列出

domain*

ListDirectQueryDataSources 授予权限以检索所提供的 OpenSearch arn 的数据源列表 列出

datasource*

ListDomainMaintenances 授予检索 OpenSearch 服务域维护操作列表的权限 列出

domain*

ListDomainNames 授予显示当前用户拥有的所有 OpenSearch 服务域名的权限 列出
ListDomainsForPackage 授予列出与软件包关联的所有 OpenSearch 服务域的权限 列出
ListElasticsearchInstanceTypeDetails 授予列出给定 OpenSearch 版本的所有实例类型和可用功能的权限。此权限已弃用。 ListInstanceTypeDetails 改用 列出
ListElasticsearchInstanceTypes 授予列出给定 OpenSearch 版本支持的所有EC2实例类型的权限 列出
ListElasticsearchVersions 授予在 Amazon OpenSearch 服务上列出所有受支持 OpenSearch 版本的权限。此权限已弃用。 ListVersions 改用 列出
ListInstanceTypeDetails 授予列出给定版本 OpenSearch 或 Elasticsearch 版本的所有实例类型和可用功能的权限 列出
ListPackagesForDomain 授予列出与 OpenSearch 服务域关联的所有软件包的权限 列出

domain*

ListScheduledActions 授予权限以检索为 OpenSearch 服务域安排的配置更改列表 列出

domain*

ListTags 授予显示 OpenSearch 服务域、数据源或应用程序的所有资源标签的权限 读取

application*

datasource*

domain*

ListVersions 授予在亚马逊服务中列出所有支持的版本 OpenSearch 和 Elasticsearch 版本的权限 OpenSearch 列出
ListVpcEndpointAccess 授予权限以检索每位被允许通过使用接口VPC终端节点访问给定 Amazon S OpenSearch ervice 域名的 Amazon 委托人的信息 列出
ListVpcEndpoints 授予在当前 Amazon Web Services 账户 和地区检索所有 Amaz OpenSearch on Serv VPC ice 托管终端节点的权限 列出
ListVpcEndpointsForDomain 授予检索与特定VPC域关联的所有亚马逊 OpenSearch 服务托管终端节点的权限 列出
PurchaseReservedElasticsearchInstanceOffering 授予购买 OpenSearch 服务预留实例的权限。此权限已弃用。 PurchaseReservedInstanceOffering 改用 写入
PurchaseReservedInstanceOffering 授予购买 OpenSearch 预留实例的权限 写入
RejectInboundConnection 授予目标域拥有者拒绝入站跨集群搜索连接请求的权限 写入
RejectInboundCrossClusterSearchConnection 授予目标域拥有者权限以拒绝入站跨集群搜索连接请求。此权限已弃用。 RejectInboundConnection 改用 写入
RemoveTags 授予从 OpenSearch 服务域、数据源或应用程序中移除资源标签的权限 标记

application*

datasource*

domain*

aws:TagKeys

RevokeVpcEndpointAccess 授予撤销通过接口VPC终端节点提供的亚马逊 OpenSearch 服务域访问权限的权限 写入
StartDomainMaintenance 授予权限以启动节点维护操作 写入

domain*

StartElasticsearchServiceSoftwareUpdate 授予权限以开启域的服务软件更新。此权限已弃用。 StartServiceSoftwareUpdate 改用 写入

domain*

StartServiceSoftwareUpdate 授予权限以开启域的服务软件更新 写入

domain*

UpdateApplication 授予更新 OpenSearch 应用程序的权限 写入

application*

UpdateDataSource 授予更新 OpenSearch 服务域数据源的权限 写入

domain*

UpdateDirectQueryDataSource 授予更新所提供的 OpenSearch arn 的数据源的权限 写入

datasource*

UpdateDomainConfig 授予修改 OpenSearch 服务域配置的权限，例如实例类型或实例数量 写入

domain*

UpdateElasticsearchDomainConfig 授予修改 OpenSearch 服务域配置的权限，例如实例类型或实例数量。此权限已弃用。 UpdateDomainConfig 改用 写入

domain*

UpdatePackage 授予更新软件包以用于 OpenSearch 服务域的权限 写入
UpdatePackageScope 授予更新软件包范围的权限 写入
UpdateScheduledAction 授予在以后重新安排计划中的 OpenSearch 服务域配置更改的权限 写入

domain*

UpdateVpcEndpoint 授予修改亚马逊 OpenSearch 服务托管接口VPC终端节点的权限 写入
UpgradeDomain 授予权限以启动将 OpenSearch 服务域升级到给定版本 写入

domain*

UpgradeElasticsearchDomain 授予启动将 OpenSearch 服务域升级到指定版本的权限。此权限已弃用。 UpgradeDomain 改用 写入

domain*

由 Amazon OpenSearch 服务定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型 ARN 条件键
domain arn:${Partition}:es:${Region}:${Account}:domain/${DomainName}

aws:ResourceTag/${TagKey}

application arn:${Partition}:opensearch:${Region}:${Account}:application/${AppId}

aws:ResourceTag/${TagKey}

es_role arn:${Partition}:iam::${Account}:role/aws-service-role/es.amazonaws.com/AWSServiceRoleForAmazonOpenSearchService

aws:ResourceTag/${TagKey}

opensearchservice_role arn:${Partition}:iam::${Account}:role/aws-service-role/opensearchservice.amazonaws.com/AWSServiceRoleForAmazonOpenSearchService

aws:ResourceTag/${TagKey}

datasource arn:${Partition}:opensearch:${Region}:${Account}:datasource/${DataSourceName}

aws:ResourceTag/${TagKey}

Amazon OpenSearch 服务的条件密钥

Amazon S OpenSearch ervice 定义了以下可在IAM策略Condition元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键 描述 类型
aws:RequestTag/${TagKey} 根据在请求中传递的标签筛选访问 字符串
aws:ResourceTag/${TagKey} 根据与资源关联的标签筛选访问 字符串
aws:TagKeys 根据在请求中传递的标签键筛选访问 ArrayOfString