aws-cloudformation - OpenSearch 1.3 > 2.3 升级，CloudFormation 域更新失败

Question

我最近更新了我们的 CDK 代码，将 OpenSearch 集群从版本 1.3 移至 2.3。集群本身似乎已升级到健康状态，并且仍然可以由我们的应用程序访问/使用，但 CloudFormation 在尝试使用以下内容更新我们的域资源时失败:

资源处理程序返回消息:“资源处理程序返回消息:“提供的请求无效:DP 节点 OOS，不允许进行标签操作”

这会将堆栈踢入UPDATE_ROLLBACK_FAILED，这是不允许的。集群无法降级回1.3。

我正在努力寻找有关该错误的任何信息，但不太确定如何解决它以解锁 CloudFormation 堆栈。

我尝试过的事情:

• 挖掘 CloudWatch 日志仅揭示与查询相关的信息。
• 在没有域资源的情况下强制进行回滚。这让我回到了 UPDATE_COMPLETE 状态，但此堆栈的每次后续部署都会导致它再次失败，因为核心问题尚未解决。

Answer 1

这是权限问题的奇怪表现。当我阅读一些文档时，我偶然发现了 this section ，其中讨论了基于标签的访问控制的更改。

这让我开始研究一下 CloudTrail，并偶然发现了部署发生时触发的确切错误。这有点奇怪，因为假定的角色授予了对 CloudFormation 的管理员访问权限，但此事件记录的最后一行引起了我的注意:

"sourceIPAddress": "cloudformation.amazonaws.com",
"userAgent": "cloudformation.amazonaws.com",
"errorCode": "ValidationException",
"errorMessage": "DP Nodes are OOS, Tags operation is not allowed",
"eventSource": "es.amazonaws.com",

将 es.amazonaws.com 添加到该角色的信任关系后，部署完全重新运行成功。

希望这对其他人有帮助。