AWSSupport-CollectEKSInstanceLogs

Beschreibung

Das AWSSupport-CollectEKSInstanceLogs Runbook sammelt Protokolldateien im Zusammenhang mit dem Betriebssystem und Amazon Elastic Kubernetes Service (Amazon EKS) aus einer Amazon Elastic Compute Cloud (Amazon EC2) -Instance, um Ihnen bei der Behebung häufig auftretender Probleme zu helfen. Während die Automatisierung die zugehörigen Protokolldateien sammelt, werden Änderungen an der Dateisystemstruktur vorgenommen, einschließlich der Erstellung temporärer Verzeichnisse, des Kopierens von Protokolldateien in die temporären Verzeichnisse und der Komprimierung der Protokolldateien in ein Archiv. Diese Aktivität kann zu einer erhöhten Auslastung der CPUUtilization Amazon EC2 EC2-Instance führen. Weitere Informationen zu finden Sie CPUUtilization unter Instance-Metriken im CloudWatch Amazon-Benutzerhandbuch.

Wenn Sie einen Wert für den LogDestination Parameter angeben, bewertet die Automatisierung den Richtlinienstatus des von Ihnen angegebenen Amazon Simple Storage Service (Amazon S3) -Buckets. Um die Sicherheit der von Ihrer Amazon EC2 EC2-Instance gesammelten Protokolle zu gewährleisten, werden die Protokolle nicht hochgeladentrue, wenn der Richtlinienstatus auf gesetzt isPublic ist oder wenn die Zugriffskontrollliste (ACL) der vordefinierten All Users Amazon S3 S3-Gruppe READ|WRITE Berechtigungen gewährt. Weitere Informationen zu vordefinierten Amazon S3 S3-Gruppen finden Sie unter Amazon S3 S3-vordefinierte Gruppen im Amazon Simple Storage Service-Benutzerhandbuch.

Führen Sie diese Automatisierung aus (Konsole)

Art des Dokuments

Automatisierung

Eigentümer

Amazon

Plattformen

Linux

Parameter

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert die folgenden Aktionen, um das Runbook erfolgreich zu verwenden.

Erforderliche IAM-Berechtigungen für das Amazon EC2 EC2-Instance-Profil

Dem Instance-Profil, das von verwendet wird, EKSInstanceId muss die von SSMManagedInstanceCoreAmazon verwaltete Richtlinie zugeordnet sein.

Es muss auch auf den LogDestination Amazon S3 S3-Bucket zugreifen können, damit es die gesammelten Protokolle hochladen kann. Im Folgenden finden Sie ein Beispiel für eine IAM-Richtlinie, die an dieses Instance-Profil angehängt werden könnte:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetBucketPolicyStatus",
        "s3:GetBucketAcl"
      ],
      "Resource": [
        "arn:aws:s3:::LogDestination/*",
        "arn:aws:s3:::LogDestination"
      ]
    }
  ]
}

Wenn AWS KMS Verschlüsselung LogDestination verwendet wird, muss der IAM-Richtlinie eine zusätzliche Anweisung hinzugefügt werden, die Zugriff auf den bei der Verschlüsselung verwendeten AWS KMS Schlüssel gewährt:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetBucketPolicyStatus",
        "s3:GetBucketAcl"
      ],
      "Resource": [
        "arn:aws:s3:::LogDestination/*",
        "arn:aws:s3:::LogDestination"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "arn:aws:kms:REGION:ACCOUNT:key/KMS-KEY-ID"
    }
  ]
}

Dokumentschritte