Недавно я обновил наш код CDK, чтобы перевести наш кластер OpenSearch с версии 1.3 на 2.3. Сам кластер, похоже, обновился до работоспособного состояния и по-прежнему доступен/используется нашим приложением, но CloudFormation не удалось обновить ресурс нашего домена с помощью:
Resource handler returned message: "Resource handler returned message: "Invalid request provided: DP Nodes are OOS, Tags operation is not allowed"
Это переместило стек в UPDATE_ROLLBACK_FAILED
, что недопустимо. Кластер нельзя понизить до версии 1.3.
Я изо всех сил пытаюсь найти какую-либо информацию об этой ошибке, которую она выдает, и не совсем уверен, как ее решить, чтобы разблокировать стек CloudFormation.
Что я пробовал:
UPDATE_COMPLETE
, но каждое последующее развертывание этого стека снова приведет к его сбою, поскольку основная проблема не решена.Это была странная презентация проблемы с разрешениями. Когда я читал некоторые документы, я наткнулся на этот раздел, в котором обсуждаются изменения в управлении доступом на основе тегов.
Это заставило меня немного изучить CloudTrail и наткнуться на точную ошибку, которая возникла, когда произошло это развертывание. Это было немного странно, потому что предполагаемая роль предоставляла администратору доступ к CloudFormation, но последняя строка этой записи события привлекла мое внимание:
"sourceIPAddress": "cloudformation.amazonaws.com",
"userAgent": "cloudformation.amazonaws.com",
"errorCode": "ValidationException",
"errorMessage": "DP Nodes are OOS, Tags operation is not allowed",
"eventSource": "es.amazonaws.com",
После добавления es.amazonaws.com
к доверительным отношениям этой роли развертывание полностью повторилось успешно.
Надеюсь, это поможет кому-то еще.