Por que recebo o erro “User: anonymous is not authorized” quando tento acessar meu cluster do OpenSearch Service?

Resolução

Se você tiver solicitações não assinadas de um endereço IP de origem que não é permitido na política de acesso, receberá a mensagem de erro “User: anonymous is not authorized”. Para solucionar esse problema, conclua a resolução que melhor se adequa ao seu caso de uso.

Seu cliente não aceita solicitações de assinatura

Se você usa um cliente que não aceita solicitações de assinatura, como um navegador, use uma política de acesso baseada em IP. As políticas baseadas em IP permitem solicitações não assinadas para um domínio do OpenSearch Service.

Certifique-se de usar a notação de bloco CIDR para os endereços IP que você especificar na política de acesso. Quando o OpenSearch Service verifica o endereço IP em relação à política de acesso, o OpenSearch Service usa a notação de bloco CIDR.

Verifique se você usa os endereços IP da política de acesso para acessar seu cluster. Para ver o endereço IP público do seu computador local, acesse checkip.amazonaws.com.

Observação: se você receber um erro de autorização, verifique se usa um endereço IP público ou privado. Não é possível aplicar políticas de acesso baseadas em IP aos domínios do OpenSearch Service que estão em uma nuvem privada virtual (VPC). Os grupos de segurança da VPC já aplicam políticas de acesso baseadas em IP. Para mais informações, consulte Sobre políticas de acesso em domínios VPC.

Seu cliente aceita solicitações de assinatura

Se você usa um cliente que aceita solicitações de assinatura, certifique-se de assinar corretamente suas solicitações. A AWS usa o processo de assinatura do AWS Signature Version 4 (SigV4) para adicionar informações de autenticação às solicitações da AWS. O OpenSearch Service rejeita solicitações de clientes que não são compatíveis com o SigV4 com o erro “User: anonymous is not authorized”. Para obter exemplos de solicitações assinadas corretamente para o OpenSearch Service, consulte Fazendo e assinando solicitações OpenSearch de serviço.

Verifique se você especificou o nome do recurso da Amazon (ARN) correto na política de acesso.

Se seu domínio do OpenSearch Service estiver em uma VPC, configure uma política de acesso aberto com ou sem um servidor proxy. Para controlar o acesso, use grupos de segurança.

Não é possível acessar os OpenSearch Dashboards

Não é possível acessar os OpenSearch Dashboards pelos seguintes motivos:

• O endpoint dos OpenSearch Dashboards não aceita solicitações assinadas.
• A política de controle de acesso permite que usuários ou perfis do AWS Identity and Access Management (AWS IAM) acessem o domínio, mas você não configurou sua autenticação do Amazon Cognito para OpenSearch Dashboards.
• A solicitação atinge o tempo limite porque você está tentando acessar o domínio do OpenSearch Service em uma VPC de fora da VPC.

Para resolver problemas de acesso, consulte Controlling access to Dashboards (Controle do acesso a Dashboards).