OpenSearch

​

Điều kiện tiên quyết

• Cluster OpenSearch có endpoint HTTPS mà CloudThinker truy cập được qua mạng. CloudThinker Cloud không truy cập được localhost và địa chỉ riêng. Nếu firewall hoặc domain access policy giới hạn bên gọi, hãy cho phép các egress IP của CloudThinker. Tài liệu này không công bố danh sách egress IP của CloudThinker: hãy hỏi đầu mối liên hệ CloudThinker của bạn, hoặc liên hệ chúng tôi. Xem Truy cập dịch vụ riêng tư để biết các lựa chọn khác.
• Plugin bảo mật OpenSearch với một internal user mà bạn có thể tạo. Trên Amazon OpenSearch Service, điều này nghĩa là domain có fine-grained access control, vì kết nối dùng basic auth chứ không dùng AWS request signing.
• Các index mà agent cần đọc, chẳng hạn logs-app hoặc products.

​

Thiết lập

PUT _plugins/_security/api/roles/cloudthinker_read
{
  "cluster_permissions": ["cluster_monitor"],
  "index_permissions": [
    {
      "index_patterns": ["logs-*"],
      "allowed_actions": ["read", "indices_monitor", "indices:admin/mappings/get"]
    }
  ]
}

PUT _plugins/_security/api/internalusers/cloudthinker
{
  "password": "<a long random password>"
}

PUT _plugins/_security/api/rolesmapping/cloudthinker_read
{
  "users": ["cloudthinker"]
}

​

Chi tiết kết nối

​

Quyền yêu cầu

​

Khả năng của agent

​

Xác minh kết nối

Check OpenSearch cluster health and list the indices with their document counts

​

Ví dụ prompt

Count authentication failures in logs-app over the last 24 hours, broken down by level
Why does the products index return irrelevant results for "wireless charger"? Explain the top hit's score
Which shards in logs-app-2026.10.24 are unassigned, and are any of them primaries?

​

Khắc phục sự cố

​

Bảo mật

• Quyền tối thiểu — chỉ cấp các quyền mà agent cần cho trường hợp sử dụng của bạn; bắt đầu với quyền chỉ đọc và mở rộng sau.
• Chỉ đọc theo mặc định — sử dụng thông tin xác thực chỉ đọc trừ khi bạn muốn agent thực hiện thay đổi qua kết nối này.
• Xoay vòng thông tin xác thực — xoay vòng khóa và token theo lịch trình thông thường của bạn; CloudThinker sẽ lấy giá trị mới khi bạn cập nhật kết nối.
• Thu hồi khi bàn giao — xóa thông tin xác thực tại nhà cung cấp khi bạn xóa một kết nối hoặc khi đồng nghiệp rời nhóm.

• Chỉ có thao tác đọc: kết nối không thể ghi, xóa hoặc thay đổi cài đặt cluster, bất kể quyền của user cho phép gì.
• Thông tin xác thực chỉ dùng cho cluster của bạn: agent không thể trỏ username và password đã lưu tới một host khác. CloudThinker từ chối mọi yêu cầu ghi đè kết nối theo từng lệnh gọi trước khi gửi đi, kể cả khi một tài liệu yêu cầu điều đó.

​

Liên quan

Elasticsearch

Kết nối cluster Elasticsearch bằng API key chỉ đọc.

Phân tích nguyên nhân gốc

Xem cách agent dùng tìm kiếm log để tìm nguyên nhân gây ra sự cố.