Amazon OpenSearch 服务的操作、资源和条件密钥

Amazon Service（ OpenSearch 服务前缀:es）提供以下特定于服务的资源、操作和条件上下文密钥，供在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。

主题

由 Amazon OpenSearch 服务定义的操作
由 Amazon OpenSearch 服务定义的资源类型
Amazon OpenSearch 服务的条件密钥

由 Amazon OpenSearch 服务定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

“操作” 表的 “访问级别” 列描述了如何对操作进行分类（列出、读取、权限管理或标记）。此分类可以帮助您了解当您在策略中使用操作时，相应操作授予的访问级别。有关访问级别的更多信息，请参阅策略摘要中的访问级别。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

“操作” 表格的 “依赖操作” 列显示成功调用操作可能需要的其他权限。除了操作本身的权限外，可能还需要这些权限。当操作指定依赖操作时，这些依赖关系可能适用于为该操作定义的其他资源，而不仅仅是表格中列出的第一个资源。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键
AcceptInboundConnection	授予目标域拥有者接受入站跨集群搜索连接请求的权限	写入
AcceptInboundCrossClusterSearchConnection	授予目标域拥有者权限以接受入站跨集群搜索连接请求。此权限已弃用。 AcceptInboundConnection 改用	写入
AddDataSource	授予为 OpenSearch 服务域添加数据源的权限	写入	domain*
AddDirectQueryDataSource	授予为所提供的 OpenSearch arn 添加数据源的权限	写入	datasource*
AddDirectQueryDataSource	授予为所提供的 OpenSearch arn 添加数据源的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
AddTags	授予将资源标签附加到 OpenSearch 服务域、数据源或应用程序的权限	标记	application*
			datasource*
			domain*
				aws:RequestTag/${TagKey} aws:TagKeys
AssociatePackage	授予将包与 OpenSearch 服务域关联的权限	写入	domain*
AssociatePackages	授予将多个包与 OpenSearch 服务域关联的权限	写入	domain*
AuthorizeVpcEndpointAccess	授予通过使用接口 VPC 终端节点提供对亚马逊 OpenSearch 服务域的访问权限	写入
CancelDomainConfigChange	授予取消 OpenSearch 服务域变更的权限	写入	domain*
CancelElasticsearchServiceSoftwareUpdate	授予权限以取消域的服务软件更新。此权限已弃用。 CancelServiceSoftwareUpdate 改用	写入	domain*
CancelServiceSoftwareUpdate	授予权限以取消域的服务软件更新	写入	domain*
CreateApplication	授予创建 OpenSearch 应用程序的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateDomain	授予创建 Amazon OpenSearch 服务域名的权限	写入	domain
CreateDomain	授予创建 Amazon OpenSearch 服务域名的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateElasticsearchDomain	授予创建 OpenSearch 服务域的权限。此权限已弃用。 CreateDomain 改用	写入	domain
CreateElasticsearchDomain	授予创建 OpenSearch 服务域的权限。此权限已弃用。 CreateDomain 改用	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateElasticsearchServiceRole	授予创建使用 VPC 访问权限的 OpenSearch 服务域所需的服务相关角色的权限。此权限已被弃用。 OpenSearch 服务为您创建服务相关角色	写入
CreateOutboundConnection	授予新建从源域到目标域的跨集群搜索连接的权限	写入	domain*
CreateOutboundCrossClusterSearchConnection	授予权限以新建从源域到目标域的跨集群搜索连接。此权限已弃用。 CreateOutboundConnection 改用	写入	domain*
CreatePackage	授予添加用于 OpenSearch 服务域的软件包的权限	写入
CreateServiceRole	授予创建使用 VPC 访问权限的 Amazon OpenSearch 服务域所需的服务相关角色的权限	写入
CreateVpcEndpoint	授予创建亚马逊 OpenSearch 服务托管的 VPC 终端节点的权限	写入
DeleteApplication	授予删除 OpenSearch 应用程序的权限	写入	application*
DeleteDataSource	授予删除 OpenSearch 服务域数据源的权限	写入	domain*
DeleteDirectQueryDataSource	授予删除所提供的 OpenSearch arn 的数据源的权限	写入	datasource*
DeleteDomain	授予删除亚马逊 OpenSearch 服务域名及其所有数据的权限	写入	domain*
DeleteElasticsearchDomain	授予删除 OpenSearch 服务域及其所有数据的权限。此权限已弃用。 DeleteDomain 改用	写入	domain*
DeleteElasticsearchServiceRole	授予删除使用 VPC 访问权限的 OpenSearch 服务域所需的服务相关角色的权限。此权限已弃用。您可以使用 IAM API 删除服务相关角色	写入
DeleteInboundConnection	授予目标域拥有者删除现有入站跨集群搜索连接的权限	写入
DeleteInboundCrossClusterSearchConnection	授予目标域拥有者权限以删除现有入站跨集群搜索连接。此权限已弃用。 DeleteInboundConnection 改用	写入
DeleteOutboundConnection	授予源域拥有者删除现有出站跨集群搜索连接的权限	写入
DeleteOutboundCrossClusterSearchConnection	授予源域拥有者权限以删除现有出站跨集群搜索连接。此权限已弃用。 DeleteOutboundConnection 改用	写入
DeletePackage	授予从 OpenSearch 服务中删除包裹的权限。程序包不能与任何域关联	写入
DeleteVpcEndpoint	授予删除亚马逊 OpenSearch 服务托管接口 VPC 终端节点的权限	写入
DescribeDomain	授予权限以查看指定 OpenSearch 服务域的域配置描述，包括域 ID、服务端点和 ARN	读取	domain*
DescribeDomainAutoTunes	授予权限以查看指定 OpenSearch 服务域的域的自动调整配置，包括自动调整状态和维护计划	读取	domain*
DescribeDomainChangeProgress	授予查看 OpenSearch 服务域详情阶段进度的权限	读取	domain*
DescribeDomainConfig	授予查看 OpenSearch 服务域配置选项和状态描述的权限	读取	domain*
DescribeDomainHealth	授予权限以查看有关以下方面的信息：域和节点运行状况、备用可用区、每个可用区的节点数以及每个节点的分片数量	读取	domain*
DescribeDomainNodes	授予权限以查看为域及其配置（包括节点 ID、节点类型、节点状态、可用区、实例类型和存储）创建的节点的相关信息	读取	domain*
DescribeDomains	授予查看最多五个指定 OpenSearch 服务域的域配置描述的权限	列表	domain*
DescribeDryRunProgress	授予描述 OpenSearch 服务域更新前验证检查状态的权限	读取	domain*
DescribeElasticsearchDomain	授予权限以查看指定 OpenSearch 服务域的域配置描述，包括域 ID、服务端点和 ARN。此权限已弃用。 DescribeDomain 改用	读取	domain*
DescribeElasticsearchDomainConfig	授予查看 OpenSearch 服务域配置和状态描述的权限。此权限已弃用。 DescribeDomainConfig 改用	读取	domain*
DescribeElasticsearchDomains	授予查看最多五个指定 Amazon OpenSearch 域名的域名配置描述的权限。此权限已弃用。 DescribeDomains 改用	列表	domain*
DescribeElasticsearchInstanceTypeLimits	授予查看给定 OpenSearch 版本和实例类型的实例数量、存储空间和主节点限制的权限。此权限已弃用。 DescribeInstanceTypeLimits 改用	列表
DescribeInboundConnections	授予列出目标域的所有入站跨集群搜索连接的权限	列表
DescribeInboundCrossClusterSearchConnections	授予权限以列出目标域的所有入站跨集群搜索连接。此权限已弃用。 DescribeInboundConnections 改用	列表
DescribeInstanceTypeLimits	授予权限以查看给定引擎版本和实例类型的实例计数、存储和主节点 (master node) 限制	列表
DescribeOutboundConnections	授予列出源域的所有出站跨集群搜索连接的权限	列表
DescribeOutboundCrossClusterSearchConnections	授予权限以列出源域的所有出站跨集群搜索连接。此权限已弃用。 DescribeOutboundConnections 改用	列表
DescribePackages	授予描述 OpenSearch 服务域可用的所有软件包的权限	读取
DescribeReservedElasticsearchInstanceOfferings	授予获取亚马逊 OpenSearch 服务预留实例产品的权限。此权限已弃用。 DescribeReservedInstanceOfferings 改用	列表
DescribeReservedElasticsearchInstances	授予获取已购买的 OpenSearch 服务预留实例的权限。此权限已弃用。 DescribeReservedInstances 改用	列表
DescribeReservedInstanceOfferings	授予获取 OpenSearch 服务预留实例产品的权限	列表
DescribeReservedInstances	授予获取已购买的 OpenSearch 服务预留实例的权限	列表
DescribeVpcEndpoints	授予描述一个或多个 Amazon OpenSearch 服务托管 VPC 终端节点的权限	列表
DissociatePackage	授予将包与指定 OpenSearch 服务域解除关联的权限	写入	domain*
DissociatePackages	授予将多个包与指定 OpenSearch 服务域解除关联的权限	写入	domain*
ESCrossClusterGet	授予权限以向目标域发送跨集群请求	读取	domain
ESHttpDelete	授予向发送 HTTP 删除请求的权限 OpenSearch APIs	写入	domain
ESHttpGet	授予向发送 HTTP GET 请求的权限 OpenSearch APIs	读取	domain
ESHttpHead	授予向发送 HTTP HEAD 请求的权限 OpenSearch APIs	读取	domain
ESHttpPatch	授予向发送 HTTP 补丁请求的权限 OpenSearch APIs	写入	domain
ESHttpPost	授予向发送 HTTP POST 请求的权限 OpenSearch APIs	写入	domain
ESHttpPut	授予向发送 HTTP PUT 请求的权限 OpenSearch APIs	写入	domain
GetApplication	授予获取有关 OpenSearch 应用程序信息的权限	读取	application*
GetCompatibleElasticsearchVersions	授予获取可将 OpenSearch 服务域升级到的兼容版本 OpenSearch 和 Elasticsearch 版本列表的权限。此权限已弃用。 GetCompatibleVersions 改用	列表	domain*
GetCompatibleVersions	授予获取可升级 OpenSearch 服务域的兼容引擎版本列表的权限	列表	domain*
GetDataSource	授予获取 OpenSearch 服务域数据源的权限	读取	domain*
GetDirectQueryDataSource	授予获取所提供的 OpenSearch arn 的数据源的权限	读取	datasource*
GetDomainMaintenanceStatus	授予权限以检索节点的维护操作状态	读取	domain*
GetPackageVersionHistory	授予获取软件包版本历史记录的权限	读取
GetUpgradeHistory	授予获取给定 OpenSearch 服务域升级历史记录的权限	读取	domain*
GetUpgradeStatus	授予获取给定 OpenSearch 服务域升级状态的权限	读取	domain*
ListApplications	授予列出 OpenSearch 应用程序的权限	列表	application*
ListDataSources	授予检索 OpenSearch 服务域数据源列表的权限	列表	domain*
ListDirectQueryDataSources	授予权限以检索所提供的 OpenSearch arn 的数据源列表	列表	datasource*
ListDomainMaintenances	授予检索 OpenSearch 服务域维护操作列表的权限	列表	domain*
ListDomainNames	授予显示当前用户拥有的所有 OpenSearch 服务域名的权限	列表
ListDomainsForPackage	授予列出与软件包关联的所有 OpenSearch 服务域的权限	列表
ListElasticsearchInstanceTypeDetails	授予列出给定 OpenSearch 版本的所有实例类型和可用功能的权限。此权限已弃用。 ListInstanceTypeDetails 改用	列表
ListElasticsearchInstanceTypes	授予列出给定 OpenSearch 版本支持的所有 EC2 实例类型的权限	列表
ListElasticsearchVersions	授予在 Amazon OpenSearch 服务上列出所有受支持 OpenSearch 版本的权限。此权限已弃用。 ListVersions 改用	列表
ListInstanceTypeDetails	授予列出给定版本 OpenSearch 或 Elasticsearch 版本的所有实例类型和可用功能的权限	列表
ListPackagesForDomain	授予列出与 OpenSearch 服务域关联的所有软件包的权限	列表	domain*
ListScheduledActions	授予权限以检索为 OpenSearch 服务域安排的配置更改列表	列表	domain*
ListTags	授予显示 OpenSearch 服务域、数据源或应用程序的所有资源标签的权限	读取	application*
			datasource*
			domain*
ListVersions	授予在亚马逊服务中列出所有支持的版本 OpenSearch 和 Elasticsearch 版本的权限 OpenSearch	列表
ListVpcEndpointAccess	授予权限以检索有关允许通过使用接口 VPC 终端节点访问给定 Amazon Serv OpenSearch ice 域的每位 Amazon 委托人的信息	列表
ListVpcEndpoints	授予在当前 Amazon Web Services 账户和地区检索所有 Amazon OpenSearch Service 托管 VPC 终端节点的权限	列表
ListVpcEndpointsForDomain	授予权限以检索与特定域关联的所有 Ama OpenSearch zon Service 托管 VPC 终端节点	列表
PurchaseReservedElasticsearchInstanceOffering	授予购买 OpenSearch 服务预留实例的权限。此权限已弃用。 PurchaseReservedInstanceOffering 改用	写入
PurchaseReservedInstanceOffering	授予购买 OpenSearch 预留实例的权限	写入
RejectInboundConnection	授予目标域拥有者拒绝入站跨集群搜索连接请求的权限	写入
RejectInboundCrossClusterSearchConnection	授予目标域拥有者权限以拒绝入站跨集群搜索连接请求。此权限已弃用。 RejectInboundConnection 改用	写入
RemoveTags	授予从 OpenSearch 服务域、数据源或应用程序中移除资源标签的权限	标记	application*
			datasource*
			domain*
				aws:TagKeys
RevokeVpcEndpointAccess	授予撤销通过接口 VPC 终端节点提供的亚马逊 OpenSearch 服务域访问权限的权限	写入
StartDomainMaintenance	授予权限以启动节点维护操作	写入	domain*
StartElasticsearchServiceSoftwareUpdate	授予权限以开启域的服务软件更新。此权限已弃用。 StartServiceSoftwareUpdate 改用	写入	domain*
StartServiceSoftwareUpdate	授予权限以开启域的服务软件更新	写入	domain*
UpdateApplication	授予更新 OpenSearch 应用程序的权限	写入	application*
UpdateDataSource	授予更新 OpenSearch 服务域数据源的权限	写入	domain*
UpdateDirectQueryDataSource	授予更新所提供的 OpenSearch arn 的数据源的权限	写入	datasource*
UpdateDomainConfig	授予修改 OpenSearch 服务域配置的权限，例如实例类型或实例数量	写入	domain*
UpdateElasticsearchDomainConfig	授予修改 OpenSearch 服务域配置的权限，例如实例类型或实例数量。此权限已弃用。 UpdateDomainConfig 改用	写入	domain*
UpdatePackage	授予更新软件包以用于 OpenSearch 服务域的权限	写入
UpdatePackageScope	授予更新软件包范围的权限	写入
UpdateScheduledAction	授予在以后重新安排计划中的 OpenSearch 服务域配置更改的权限	写入	domain*
UpdateVpcEndpoint	授予修改亚马逊 OpenSearch 服务托管接口 VPC 终端节点的权限	写入
UpgradeDomain	授予权限以启动将 OpenSearch 服务域升级到给定版本	写入	domain*
UpgradeElasticsearchDomain	授予启动将 OpenSearch 服务域升级到指定版本的权限。此权限已弃用。 UpgradeDomain 改用	写入	domain*

由 Amazon OpenSearch 服务定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
domain	`arn:${Partition}:es:${Region}:${Account}:domain/${DomainName}`	aws:ResourceTag/${TagKey}
application	`arn:${Partition}:opensearch:${Region}:${Account}:application/${AppId}`	aws:ResourceTag/${TagKey}
es_role	`arn:${Partition}:iam::${Account}:role/aws-service-role/es.amazonaws.com/AWSServiceRoleForAmazonOpenSearchService`	aws:ResourceTag/${TagKey}
opensearchservice_role	`arn:${Partition}:iam::${Account}:role/aws-service-role/opensearchservice.amazonaws.com/AWSServiceRoleForAmazonOpenSearchService`	aws:ResourceTag/${TagKey}
datasource	`arn:${Partition}:opensearch:${Region}:${Account}:datasource/${DataSourceName}`	aws:ResourceTag/${TagKey}

Amazon OpenSearch 服务的条件密钥

Amazon S OpenSearch ervice 定义了以下条件键，这些条件键可用于 IAM 策略的Condition元素中。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看所有服务均可用的全局条件键，请参阅Amazon 全局条件上下文密钥。

条件键	描述	类型
aws:RequestTag/${TagKey}	根据在请求中传递的标签筛选访问	字符串
aws:ResourceTag/${TagKey}	根据与资源关联的标签筛选访问	字符串
aws:TagKeys	根据在请求中传递的标签键筛选访问	ArrayOfString

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon Network 防火墙

Amazon 组织