AWS IAMポリシー - IPアドレスを許可してFirehoseを許可する

Question

Kinesis Firehose IAMロールがインスタンスにデータを配信できるようにすることに加え、いくつかのIPアドレスからのアクセスを許可するESインスタンスを設定しようとしています。

私は2つのポリシーを組み合わせることに問題があります。それぞれは単独で動作します。 IPアドレスポリシーだけで、私はKibanaのESを見ることができますが、Firehoseでデータを配信することはできません。同様に、Firehoseポリシーだけでは、データを配信できますが、クエリESは配信できません。

このアクセスポリシーの作成時に私のエラーが表示されることがありますか？ここで

はESインスタンス上のポリシーです：

"Statement": [ 
    { 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "arn:aws:iam::iiiiiiiiiiii:role/firehose_delivery_role" 
     }, 
     "Action": "es:*", 
     "Resource": "arn:aws:es:us-west-2:iiiiiiiiiiii:domain/es-test/*" 
    }, 
    { 
     "Sid": "1", 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "*" 
     }, 
     "Action": "es:*", 
     "Resource": "arn:aws:es:us-west-2:iiiiiiiiiiii:domain/es-test/*", 
     "Condition": { 
     "IpAddress": { 
      "aws:SourceIp": [ 
      "xxx.xxx.xx.xxx", 
      "yyy.yy.y.yyy" 
      ] 
     } 
     } 
    } 
] 

Answer 1

1. 追加ステートメントを次のように前：ソースIPのために
2. 、持っている、 "2012年10月17日"： "バージョン"/32または/ 24のようなサブネットマスクを指定しましたか？それは必須ですhttp://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Conditions_IPAddress
3. 最初のステートメントに一意の "Sid"を付け加えます。第2ステートメントには一意の "Sid"が追加されます。ドキュメンテーションはオプションだと言っていますが、私はこれらの違いを除いてあなたの仕事のポリシーに非常に近いです。