AWS Elasticsearchサービス（静的IPとLambda ARN）に複数のドメインアクセスポリシーを追加

Question

AWS Elasticsearchを設定した後、静的IPサーバーにLogstashとKibanaプロキシをインストールし、このドメインアクセスポリシーをESに追加しました。

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Sid": "", 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "*" 
     }, 
     "Action": "es:*", 
     "Resource": "arn:aws:es:ap-southeast-1:323137313233:domain/sg-es-logs/*", 
     "Condition": { 
     "IpAddress": { 
      "aws:SourceIp": [ 
      "192.192.192.192" 
      ] 
     } 
     } 
    } 
    ] 
} 

今、私はラムダ関数は、AWS ES上es:ESHttpDeleteアクションを実行できるようにする必要があるので、私は、AWS ESアクセスポリシーに追加するIAM経営管理論コンソールからrelevent ARNをコピーした後、既存の役割service-role/Elasticsearchと機能を作成しましたこれを考えてみましょう：

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": [ 
      "arn:aws:iam:: 323137313233:role/service-role/Elasticsearch" 
     ] 
     }, 
     "Action": [ 
     "es:*" 
     ], 
     "Resource": "arn:aws:es:ap-southeast-1:323137313233:domain/sg-es-logs/*" 
    } 
    ] 
} 

問題がありますESスタティックIPまたはARNではドメインアクセスポリシーを選択する必要がありますが、両方ではありません。コンソールを使用せずに手動でマージしようとしたときに動作しませんでした。 AWSのドキュメントをチェックしましたが、可能かどうかは言及していませんでした。

Answer 1

Statementの配列内に、ポリシーのJSON形式で複数のポリシーステートメントを追加できます。したがって、最終的なポリシーは次のようなものになります：

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Sid": "", 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "*" 
     }, 
     "Action": "es:*", 
     "Resource": "arn:aws:es:ap-southeast-1:323137313233:domain/sg-es-logs/*", 
     "Condition": { 
     "IpAddress": { 
      "aws:SourceIp": [ 
      "192.192.192.192" 
      ] 
     } 
     } 
    }, 
    { 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": [ 
      "arn:aws:iam:: 323137313233:role/service-role/Elasticsearch" 
     ] 
     }, 
     "Action": [ 
     "es:*" 
     ], 
     "Resource": "arn:aws:es:ap-southeast-1:323137313233:domain/sg-es-logs/*" 
    } 
    ] 
}