`AWSSupport-TroubleshootCloudWatchAgent`

Beschreibung

Das AWSSupport-TroubleshootCloudWatchAgent Runbook automatisiert die Fehlerbehebung beim Amazon CloudWatch Agent auf Ihren Amazon Elastic Compute Cloud (Amazon EC2) -Instances. Das Runbook führt diese Fehlerbehebung durch eine Reihe grundlegender und (optionaler) erweiterter Prüfungen durch.

Die grundlegenden Prüfungen umfassen Folgendes:

Suchen Sie nach einem AWS Identity and Access Management (IAM-) Instanzprofil
Überprüfen Sie, ob die erforderlichen Amazon CloudWatch Agent-IAM-Berechtigungen an die Amazon EC2-Instance angehängt sind

Die erweiterten Prüfungen werden nur durchgeführt, wenn es sich bei der angegebenen Amazon EC2-Instance-ID um eine von Systems Manager verwaltete Instance handelt. Diese erweiterten Prüfungen umfassen Folgendes:

Überprüfen Sie den Status des CloudWatch Amazon-Agenten auf der Instance
Analysieren Sie die Protokolle des CloudWatch Amazon-Agenten auf häufig auftretende Probleme und relevante Schritte zur Fehlerbehebung
Komprimieren Sie die relevanten Protokolle und Konfigurationsdateien auf der Amazon EC2-Instance und laden Sie sie optional in einen Amazon Simple Storage Service (Amazon S3) -Bucket Ihrer Wahl hoch
Führen Sie eine Konnektivitätsprüfung zwischen der Instance und den erforderlichen Endpunkten durch

Wichtig

Wenn der RunVpcReachabilityAnalyzer Parameter auf gesetzt isttrue, bestimmt dieses Runbook, ob das untergeordnete Runbook aufgerufen werden muss. AWSSupport-AnalyzeAWSEndpointReachabilityFromEC2 Das untergeordnete Runbook verwendet den VPC Reachability Analyzer, was mit Kosten verbunden ist. Weitere Informationen zur Preisgestaltung finden Sie in der Amazon VPC-Preisdokumentation.

Wichtig

Dieses Runbook überprüft nur Ihre IAM-Instance-Profilrolle auf die erforderlichen Berechtigungen. Wenn Sie sich stattdessen auf die in einer .aws/credentials Datei definierten Anmeldeinformationen verlassen, sind die Ergebnisse des verifyIamPermissions Schritts möglicherweise falsch.

Wie funktioniert das?

Das Runbook führt die folgenden Schritte aus:

get InstanceProfile: Überprüft, ob an die bereitgestellte Amazon EC2-Instance ein IAM-Instance-Profil angehängt ist.
verify IamPermissions: Überprüft das mit der Instance verknüpfte Instanzprofil, um festzustellen, ob die erforderlichen IAM-Berechtigungen angewendet werden.
get InstanceInformation: Prüft, ob die Instanz über einen aktiven Systems Manager-Agenten verfügt, und ruft den Betriebssystemtyp der Instanz ab.
get AgentStatus: Überprüft den Status des CloudWatch Amazon-Agenten auf der Instance (erweiterte Prüfung).
analyzeLogs/analyzeLogsWindows: Analysiert und gibt die Ergebnisse der Amazon CloudWatch Agent-Protokolle auf der Grundlage des Betriebssystemtyps aus.
collectLogs/collectLogsWindows: Bündelt die relevanten Amazon CloudWatch Agent-Problembehandlungsdateien auf der Grundlage des Betriebssystemtyps und gibt sie aus.
checkEndpointReachability/checkEndpointReachabilityWindows: Prüft, ob die Instance je nach Betriebssystemtyp die erforderlichen Endpunkte erreichen kann.
Analysieren AwsEndpointReachabilityFromEC2: Ruft das untergeordnete Automatisierungs-Runbook auf, um die Erreichbarkeit der ausgewählten Instanz für die erforderlichen Endpunkte zu überprüfen (falls aktiviert).

Führen Sie diese Automatisierung aus (Konsole)

Art des Dokuments

Automatisierung

Eigentümer

Amazon

Plattformen

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert die folgenden Aktionen, um das Runbook erfolgreich zu verwenden.

ec2: DescribeInstances
Ich bin: GetInstanceProfile
ich bin: GetRole
ich bin: ListAttachedRolePolicies
ich bin: ListRolePolicies
ich bin: GetRolePolicy
ich bin: GetPolicy
ich bin: GetPolicyVersion
ich bin: SimulatePrincipalPolicy
ssm: DescribeInstanceInformation
ssm: SendCommand
ssm: GetCommandInvocation
ssm: DescribeInstanceAssociationsStatus
ssm: StartAutomationExecution

Beispiel für eine Richtlinie:


{
        "Version": "2012-10-17",
        "Statement": [
            {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "iam:GetInstanceProfile",
                "iam:GetRole",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:GetRolePolicy",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:SimulatePrincipalPolicy",
                "ssm:DescribeInstanceInformation",
                "ssm:SendCommand",
                "ssm:GetCommandInvocation",
                "ssm:DescribeInstanceAssociationsStatus",
                "ssm:StartAutomationExecution"
            ],
            "Resource": "*"
            }
        ]
        }

Anweisungen

Folgen Sie diesen Schritten, um die Automatisierung zu konfigurieren:

Navigieren Sie AWSSupport-TroubleshootCloudWatchAgent im Systems Manager unter Dokumente zu.
Wählen Sie Execute automation (Automatisierung ausführen).
Geben Sie für die Eingabeparameter Folgendes ein:
- AutomationAssumeRole (Fakultativ):
  - Beschreibung: (Optional) Der ARN der IAM-Rolle, die es Systems Manager Automation ermöglicht, die Aktionen in Ihrem Namen auszuführen. Wenn keine Rolle angegeben ist, verwendet Systems Manager Automation die Berechtigungen des Benutzers, der dieses Runbook startet.
  - Typ: AWS::IAM::Role::Arn
- InstanceId (Erforderlich):
  - Beschreibung: (Erforderlich) Die ID der Amazon EC2-Instance, auf der Sie das Problem mit dem Amazon CloudWatch Agent beheben möchten.
  - Typ: AWS::EC2::Instance::Id
  - Muster zulassen: ^i-[0-9a-f]{8,17}$
- S3UploadBucket (Fakultativ):
  - Beschreibung: (Optional) Der Name eines Amazon S3-Buckets zum Hochladen der gesammelten Amazon CloudWatch Agent-Protokolle. Das Amazon EC2-Instanzprofil muss über die richtigen Berechtigungen verfügen, um Dateien in diesen Bucket hochzuladen. Dazu muss es sich bei der Amazon EC2-Zielinstanz auch um eine von Systems Manager verwaltete Instance handeln.
  - Typ: AWS::S3::Bucket::Name
  - Muster zulassen: ^$|^[a-z0-9][a-z0-9.-]{1,61}[a-z0-9]$
  - Standard: ""
- S3BucketOwnerAccountId (Fakultativ):
  - Beschreibung: (Optional) Die AWS Kontonummer, der der Amazon S3-Bucket gehört, in den Sie die Amazon CloudWatch Agent-Protokolle hochladen möchten. Wenn Sie diesen Parameter nicht ändern, verwenden die Runbooks die AWS Konto-ID des Benutzers oder der Rolle, in der die Automatisierung ausgeführt wird.
  - Typ: String
  - Muster zulassen: ^\\{\\{ global:ACCOUNT_ID \\}\\}$|^[0-9]{12}$
  - Standard: {{ global:ACCOUNT_ID }}
- EC2-Endpunkt überprüfen (optional):
  - Beschreibung: (Optional) Geben Sie an, true ob Ihre Agentenkonfiguration die Option append_dimensions zum Anhängen von Amazon EC2-Metrikdimensionen an die vom Agenten gesammelten Metriken verwendet. Wenn der Amazon CloudWatch Agent verwendet append_dimensions wird, benötigt er Konnektivität zum Amazon EC2-API-Endpunkt. Daher werden im Rahmen der erweiterten Prüfungen zusätzliche Konnektivitätstests durchgeführt.
  - Typ: String
  - Zulässige Werte: [true, false]
  - Standard: false
- RunVpcReachabilityAnalyzer (Fakultativ):
  - Beschreibung: (Optional) Geben Sie true an, dass die AWSSupport-AnalyzeAWSEndpointReachabilityFromEC2 untergeordnete Automatisierung ausgeführt werden soll, wenn bei den erweiterten Prüfungen ein Netzwerkproblem festgestellt wird oder wenn es sich bei der angegebenen Instanz-ID nicht um eine verwaltete Instanz handelt.
  - Typ: Boolean
  - Standard: false
- RetainVpcReachabilityAnalysis (Fakultativ):
  - Beschreibung: (Optional) Nur relevant, wenn RunVpcReachabilityAnalyzer jatrue. Geben Sie true an, dass der Network Insight Path und die zugehörigen Analysen, die mit VPC Reachability Analyzer erstellt wurden, beibehalten werden sollen. Standardmäßig werden diese Ressourcen nach erfolgreicher Analyse gelöscht.
  - Typ: Boolean
  - Standard: false
Wählen Sie Ausführen aus.
Die Automatisierung wird initiiert.
Das Dokument führt die folgenden Schritte aus:
- erhalten InstanceProfile:
  
  Überprüft, ob an die bereitgestellte Amazon EC2-Instance ein IAM-Instance-Profil angehängt ist.
- Zweig: OnInstanceProfileStatus
  
  Verzweigt die Automatisierung, um nach den erforderlichen Instanzprofilberechtigungen zu suchen, wenn das Instanzprofil an die Instanz angehängt ist.
- verifizieren Sie IamPermissions:
  
  Überprüft das der Instance zugeordnete Instanzprofil, um festzustellen, ob die erforderlichen IAM-Berechtigungen angewendet werden.
- holen Sie sich InstanceInformation:
  
  Prüft, ob die Instanz über einen aktiven Systems Manager-Agenten verfügt, und ruft den Betriebssystemtyp der Instanz ab.
- Zweig OnManagedInstance:
  
  Verzweigt die Automatisierung, um erweiterte Prüfungen durchzuführen, wenn die Instanz verwaltet wird.
- holen Sie sich AgentStatus:
  
  Überprüft den Status des CloudWatch Amazon-Agenten auf der Instance.
- Filiale OnInstanceOsType:
  
  Verzweigt die Automatisierung so, dass ein bestimmter collection/analysis Protokollbefehl ausgeführt wird, der auf dem Betriebssystem basiert.
- analyzeLogs/analyzeLogsWindows:
  
  Analysiert und gibt die Ergebnisse der Amazon CloudWatch Agent-Protokolle auf der Grundlage des Betriebssystemtyps aus.
- collectLogs/collectLogsWindows:
  
  Bündelt die relevanten Amazon CloudWatch Agent-Problembehandlungsdateien auf der Grundlage des Betriebssystemtyps und gibt sie aus.
- checkEndpointReachability/checkEndpointReachabilityWindows:
  
  Prüft je nach Betriebssystemtyp, ob die Instance die erforderlichen Endpunkte erreichen kann.
- Zweig OnRunVpcReachabilityAnalyzer:
  
  Verzweigt die Automatisierung so, dass eine VPC-Erreichbarkeitsanalyse ausgeführt wird, falls diese Option aktiviert ist und Netzwerkprobleme erkannt werden.
- Endpunkte generieren:
  
  Generiert einen Endpunkt zur Überprüfung anhand der Fehler bei der erweiterten Überprüfung und dem Wert von. CheckEC2Endpoint
- analysieren AwsEndpointReachabilityFromEC2:
  
  Ruft das Automatisierungs-Runbook AWSSupport-AnalyzeAWSEndpointReachabilityFromEC2 auf, um die Erreichbarkeit der ausgewählten Instanz für die erforderlichen Endpunkte zu überprüfen.
- Ergebnisse ausgeben:
  
  Gibt die Ergebnisse der Automatisierungsausführungsschritte aus.
Nach Abschluss der Ausführung finden Sie im Abschnitt Ausgaben die detaillierten Ergebnisse der Ausführung.

Referenzen

Systems Manager Automation

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

AWS-EnableCWAlarm

AWSSupport-TroubleshootCloudWatchAlarm