Konfiguration von Berechtigungen, wenn sich Ressourcen in unterschiedlichen Konten befinden

Wenn sich Ihre OpenSearch Service- und Amazon Personalize Personalize-Ressourcen in separaten Konten befinden, erstellen Sie in jedem Konto eine IAM-Rolle und gewähren der Rolle Zugriff auf die Ressourcen im Konto.

Um Berechtigungen für mehrere Konten einzurichten

1. Erstellen Sie in dem Konto, in dem Ihre Amazon Personalize Personalize-Kampagne existiert, eine IAM-Rolle, die berechtigt ist, ein personalisiertes Ranking für Ihre Amazon Personalize-Kampagne zu erhalten. Wenn Sie das Plugin konfigurieren, geben Sie den ARN für diese Rolle im external_account_iam_role_arn Parameter des personalized_search_ranking Antwortprozessors an. Weitere Informationen finden Sie unter Konfiguration des Plug-ins.

   Eine Beispielrichtlinie finden Sie in Beispiel für eine Berechtigungsrichtlinie.

2. Erstellen Sie in dem Konto, in dem Ihre OpenSearch Dienstdomäne existiert, eine Rolle mit einer Vertrauensrichtlinie, die OpenSearch AssumeRole Dienstberechtigungen gewährt. Wenn Sie das Plugin konfigurieren, geben Sie den ARN für diese Rolle im iam_role_arn Parameter des personalized_search_ranking Antwortprozessors an. Weitere Informationen finden Sie unter Konfiguration des Plug-ins.

   Ein Beispiel für eine Vertrauensrichtlinie finden Sie unterBeispiel für eine Vertrauensrichtlinie.

3. Ändern Sie jede Rolle, um den anderen Rollen AssumeRole Berechtigungen zu gewähren. Für die Rolle, die Zugriff auf Ihre Amazon Personalize-Ressourcen hat, würde ihre IAM-Richtlinie der Rolle im Konto mit der OpenSearch Service-Domain beispielsweise Rollenberechtigungen wie folgt zuweisen:

   {
       "Version": "2012-10-17",
       "Statement": [{
           "Sid": "",
           "Effect": "Allow",
           "Action": "sts:AssumeRole",
           "Resource": "arn:aws:iam::<Account number for role with access to OpenSearch Service domain>:role/roleName"
            
       }]
   }

4. Erteilen Sie in dem Konto, in dem Ihre OpenSearch Service-Domain existiert, dem Benutzer oder der Rolle, die auf Ihre OpenSearch Service-Domain zugreift, PassRole Berechtigungen für die OpenSearch Service-Servicerolle, die Sie gerade erstellt haben. Weitere Informationen finden Sie unter Konfiguration der Amazon OpenSearch Service-Domain-Sicherheit.