AWS IAM策略 - 允许从IP地址并允许Firehose

Question

我试图设置一个ES实例，允许从几个IP地址访问，除了允许Kinesis Firehose IAM角色将数据传递到实例。

虽然将两个策略结合起来，但我遇到了问题。每个人都可以自行工作。只要有IP地址策略，我可以从Kibana查看ES，但我无法使用Firehose传输数据。同样只有Firehose策略，我可以提供数据但不查询ES。

有人能帮我看看我在构建这个访问策略时的错误吗？

下面是对ES实例的政策：

"Statement": [ 
    { 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "arn:aws:iam::iiiiiiiiiiii:role/firehose_delivery_role" 
     }, 
     "Action": "es:*", 
     "Resource": "arn:aws:es:us-west-2:iiiiiiiiiiii:domain/es-test/*" 
    }, 
    { 
     "Sid": "1", 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "*" 
     }, 
     "Action": "es:*", 
     "Resource": "arn:aws:es:us-west-2:iiiiiiiiiiii:domain/es-test/*", 
     "Condition": { 
     "IpAddress": { 
      "aws:SourceIp": [ 
      "xxx.xxx.xx.xxx", 
      "yyy.yy.y.yyy" 
      ] 
     } 
     } 
    } 
] 

Answer 1

1. 添加以下之前的声明： “版本”： “2012年10月17日”，
2. 为源IP的，有你指定了一个像/ 32或/ 24这样的子网掩码？这是要求每http://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Conditions_IPAddress
3. 添加一个独特的“Sid”的第一个陈述，你有一个为第二个陈述。文档说它是可选的，但是我有一个非常接近你的工作方针，除了这些差异。