Elasticsearch:Função de service do Alibaba Cloud ES

Introdução à função de service do ES

Ao atualizar um dicionário informando um caminho do OSS no console, se não existir nenhuma função com as permissões necessárias, autorize a criação de uma função de service. O ES assume essa função para acessar o arquivo no caminho do OSS especificado e atualizar o dicionário na sua instância do ES, sem que seja necessário configurar o bucket do OSS como leitura pública.

Os detalhes dessa função são:

• Nome do service: elasticsearch.aliyuncs.com

• Nome da função: AliyunElasticsearchAccessingOSSRole

• Nome da política de acesso: AliyunElasticsearchAccessingOSSRolePolicy

• Documento de política da função

  {
    "Version": "1",
    "Statement": [
      {
        "Action": [
          "oss:GetObject",
          "oss:GetObjectMetadata",
          "oss:GetObjectMeta"
        ],
        "Resource": "*",
        "Effect": "Allow"
      }
    ]
  }

Exclua a função de service

Para excluir a função de service, acesse o console do Resource Access Management (RAM). Para mais informações, consulte Delete a RAM role.

Exemplo: Restringir permissões da função de service

Para limitar o acesso da função de service, personalize a política de autorização conforme descrito abaixo:

1. Defina tags de bucket

   Utilize tags de bucket para gerencie permissões de buckets do OSS. Para mais informações, consulte Manage bucket tags.

   1. Faça login no console do OSS.

   2. No painel de navegação à esquerda, clique em Buckets. Na página exibida, clique em no nome do bucket desejado.

   5. Configure a tag do bucket.

      Defina a chave da tag como Elasticsearch e o valor da tag como test e, em seguida, clique em Set.

2. Crie uma política do RAM. Para mais informações, consulte Create a custom policy in script mode.

   Modifique o elemento Resource para restringir o acesso a um bucket específico ou o elemento Condition para restringir o acesso a buckets com uma tag específica. Exemplo:

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "oss:GetObject",
           "oss:GetObjectMetadata",
           "oss:GetObjectMeta"
         ],
         "Resource": [
           "acs:oss:*:193248xxxxxxx:*"
         ],
         "Effect": "Allow",
         "Condition": {
           "StringEquals": {
             "oss:BucketTag/key1":"value1"
           }
         }
       }
     ]
   }

3. Edite as permissões da AliyunElasticsearchAccessingOSSRole e adicione a política personalizada criada na etapa anterior.

Perguntas frequentes

P: Por que recebo o código de erro ElasticsearchNoPermissionForCurrentBucket ao fazer requisições OpenAPI como UpdateDict, UpdateHotIkDicts, UpdateSynonymsDicts ou UpdateAliwsDict?

R: Instâncias de controle cloud-native (versões 7,16, 8,5 e 8,9) leem arquivos de dicionário do OSS apenas por meio de uma função de service da Alibaba Cloud. O acesso direto a endereços OSS de leitura pública não é suportado. Acesse a página de autorização para conceder as permissões necessárias. Isso se aplica a atualizações de sinônimos, atualizações frias e quentes de dicionários IK e atualizações de dicionários ali-ws a partir do OSS.