在亚马逊 OpenSearch 服务中创建索引快照

创建 S3 存储桶以存储 OpenSearch 服务域的手动快照。有关说明，请参阅《亚马逊简单存储服务用户指南》中的创建通用存储桶。

记住要在以下位置使用它的存储桶名称：

创建 IAM 角色以向 OpenSearch 服务委派权限。有关说明，请参阅 IAM 用户指南中的创建 IAM 角色（控制台）。本章剩余部分将此角色称为 TheSnapshotRole。

附加 IAM policy

将下面的策略附加到 TheSnapshotRole 以允许访问 S3 存储桶：

{
  "Version": "2012-10-17",
  "Statement": [{
      "Action": [
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket"
      ]
    },
    {
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket/*"
      ]
    }
  ]
}

有关向角色关联策略的说明，请参阅 IAM 用户指南中的添加 IAM 身份权限（控制台）。

编辑信任关系

编辑的信任关系TheSnapshotRole以在Principal语句中指定 S OpenSearch ervice，如以下示例所示：

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "",
    "Effect": "Allow",
    "Principal": {
      "Service": "es.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
  }]
  
}

有关编辑信任关系的说明，请参阅 IAM 用户指南中的更新角色信任策略。

要注册快照存储库，您需要能够传递TheSnapshotRole给 OpenSearch 服务。还需要对 es:ESHttpPut 操作的访问权限。要授予这两个权限，请将以下策略附加到 IAM 角色，该角色的凭据用于签署请求：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::123456789012:role/TheSnapshotRole"
    },
    {
      "Effect": "Allow",
      "Action": "es:ESHttpPut",
      "Resource": "arn:aws:es:region:123456789012:domain/domain-name/*"
    }
  ]
}

如果您的用户或角色没有 iam:PassRole 权限传递 TheSnapshotRole，在下一步骤中尝试注册存储库时，您可能会遇到以下常见错误：

$ python register-repo.py
{"Message":"User: arn:aws:iam::123456789012:user/MyUserAccount
is not authorized to perform: iam:PassRole on resource:
arn:aws:iam::123456789012:role/TheSnapshotRole"}