Pourquoi le message d'erreur « User: anonymous is not authorized » s'affiche-t-il lorsque j'essaie d'accéder à mon cluster OpenSearch Service ?

Résolution

Si vous disposez de requêtes non signées provenant d'une adresse IP source qui n'est pas autorisée dans la politique d'accès, le message d'erreur « User: anonymous is not authorized » s'affiche. Pour résoudre ce problème, choisissez la résolution qui correspond le mieux à votre cas d'utilisation.

Votre client n'accepte pas les demandes de signature

Si vous utilisez un client qui ne prend pas en charge les demandes de signature, tel qu'un navigateur, utilisez une politique d’accès basée sur l’adresse IP. Les politiques basées sur l’adresse IP autorisent les requêtes non signées vers un domaine OpenSearch Service.

Veillez à utiliser la notation de bloc CIDR pour les adresses IP que vous spécifiez dans la politique d'accès. Lorsque OpenSearch Service vérifie l'adresse IP par rapport à la politique d'accès, OpenSearch Service utilise la notation de bloc CIDR.

Vérifiez que vous utilisez les adresses IP de la politique d'accès pour accéder à votre cluster. Pour voir l'adresse IP publique de votre ordinateur local, accédez à checkip.amazonaws.com.

Remarque : Si vous recevez une erreur d'autorisation, vérifiez si vous utilisez une adresse IP publique ou privée. Vous ne pouvez pas appliquer de politiques d'accès basées sur l’adresse IP aux domaines OpenSearch Service qui se trouvent dans un cloud privé virtuel (VPC). Les groupes de sécurité appliquent déjà des politiques d'accès basées sur l’adresse IP. Pour plus d'informations, consultez la section À propos des politiques d'accès pour les domaines de VPC.

Votre client prend en charge les demandes de signature

Si vous utilisez un client qui prend en charge les demandes de signature, assurez-vous de signer correctement vos requêtes. AWS utilise le processus de signature Signature Version 4 (SigV4) d’AWS pour ajouter des informations d'authentification aux requêtes AWS. OpenSearch Service rejette les requêtes provenant de clients qui ne sont pas compatibles avec SigV4 avec le message d'erreur « User: anonymous is not authorized ». Pour des exemples de requêtes correctement signées adressées à OpenSearch Service, consultez la section Création et signature de requêtes OpenSearch Service.

Vérifiez que vous avez spécifié l’Amazon Resource Name (ARN) correct dans la politique d'accès.

Si votre domaine OpenSearch Service se trouve dans un VPC, configurez une politique d'accès ouvert avec ou sans serveur proxy. Pour contrôler l’accès, utilisez des groupes d’accès.

Vous ne pouvez pas accéder aux tableaux de bord OpenSearch

Vous ne pouvez pas accéder aux tableaux de bord OpenSearch pour les raisons suivantes :

• Le point de terminaison des tableaux de bord OpenSearch ne prend pas en charge les requêtes signées.
• La politique de contrôle d'accès autorise les utilisateurs ou les rôles de Gestion des identités et des accès AWS (AWS IAM) à accéder au domaine, mais vous n’avez pas configuré votre authentification Amazon Cognito pour les tableaux de bord OpenSearch.
• La requête expire car vous essayez d'accéder au domaine OpenSearch Service au sein d'un VPC depuis l'extérieur du VPC.

Pour résoudre les problèmes d'accès, consultez la section Contrôle de l'accès aux tableaux de bord.