[小ネタ] OpenSearch のパッチバージョンを確認してみた

2025.09.16
いきなりですが OpenSearch のパッチバージョンがいくつかを確認したいときがあるかと思います。今回はそちらをやってみたので、備忘録です。
なお、各パッチバージョンの詳細については下記ドキュメントにある通り詳細は非公開となっています。
パッチリリース: 末尾が「-P」と数字のサービスソフトウェアバージョン (例: R20211203-P4) がパッチリリースです。パッチには、パフォーマンスの改善、マイナーなバグ修正、セキュリティ修正または体制の改善が含まれる可能性があります。パッチには新機能や重大な変更は含まれないため、一般的にユーザーやドキュメントに直接的な影響はありません。そのため、各パッチの詳細はこのドキュメントの履歴に含まれていません。
Amazon OpenSearch Service のドキュメント履歴

 結論ドメインエンドポイントにアクセスすると確認できます。

					
			$ curl <ドメインエンドポイント>

		
		
 やってみた今回は、適当な OpenSearch ドメイン (プライベートサブネットに配置) および EC2  (パブリックサブネットに配置)  を作成し、EC2 から OpenSearch のドメインエンドポイントに curl でアクセスしてみようと思います。
 セキュリティグループの作成EC2 のセキュリティグループ：ローカルから EC2 に接続できるよう SSH を設定

OpenSearch のセキュリティグループ：パブリック EC2 から接続できるよう上記の SG を指定

 EC2 の作成以下構成で作成しておきます。
Amazon Linux 2023
t3.micro
パブリックサブネットに配置
パブリック IP の自動割り当てを有効化
 OpenSearch ドメインの作成OpenSearch のコンソールへ移動し、「ドメインを作成」を選びます。

お試しで作成するため、「標準作成」を選びます。



今回バージョンは、1.3 を指定しました。

データノードの数は 1 台とします。



マスターノードのチェックは外しておきます。

EC2 と同じ VPC のプライベートサブネットを指定します。セキュリティグループは、前述で作成済みの SG を指定します。

「きめ細かなアクセスコントロール」のチェックは外しておきます。

「アクセスポリシー」および「暗号化」は以下のように設定しておきます。

上記設定をしたら「作成」を選びドメインを作ります。

以下の通り、ドメイン作成が完了しました。

ちなみに作成直後の状態で、EC2 からドメイン詳細画面に表示されるドメインエンドポイントを指定し、アクセスしてみます。

その結果、今の状態ではアクセスができず失敗します。

					
			$ curl -X GET https://vpc-test-domain-<ランダム文字列>.ap-northeast-1.es.amazonaws.com
{"Message":"User: anonymous is not authorized to perform: es:ESHttpGet with an explicit deny in a resource-based policy"}

		
		
上記エラーの内容を見ると、権限で問題が発生していることがわかります。

そこでドメインのアクセスポリシーを確認すると、以下の通りデフォルトで Deny ルールが適用されていることを発見しました。
before

					
			{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:*",
      "Resource": "arn:aws:es:ap-northeast-1:<アカウント ID>:domain/test-domain/*"
    }
  ]
}

		
		
このままでは curl アクセスができないので、下記のように "es:ESHttp*" アクションを実行できるように修正します。
after

					
			{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "arn:aws:es:ap-northeast-1:<アカウント ID>:domain/test-domain/*"
    }
  ]
}

		
		
 動作確認今度はうまくいきました。返却結果より、パッチバージョンは 1.3.2 であることがわかりますね。パッチバージョンが把握できて一安心です。

					
			$ curl -X GET https://vpc-test-domain-<ランダム文字列>.ap-northeast-1.es.amazonaws.com
{
  "name" : "<name>",
  "cluster_name" : "<AWS アカウント ID>:test-domain",
  "cluster_uuid" : "<cluster_uuid>",
  "version" : {
    "distribution" : "opensearch",
    "number" : "1.3.2",
    "build_type" : "tar",
    "build_hash" : "unknown",
    "build_date" : "2025-06-09T08:07:21.844248Z",
    "build_snapshot" : false,
    "lucene_version" : "8.10.1",
    "minimum_wire_compatibility_version" : "6.8.0",
    "minimum_index_compatibility_version" : "6.0.0-beta1"
  },
  "tagline" : "The OpenSearch Project: https://opensearch.org/"
}

		
		
 終わりに今回は、OpenSearch のパッチバージョンを確認してみました。

パッチがいくつなのかはたまに気になったりするんですが、コンソール画面からは確認できない内容なので、今回の方法を参考にしていただけたらと思います。
本記事がお役に立てば幸いです。お疲れ様でした。
 参考情報https://docs.aws.amazon.com/ja_jp/opensearch-service/latest/developerguide/release-notes.html#

https://repost.aws/knowledge-center/anonymous-not-authorized-opensearch