View a markdown version of this page

AWSSupport-TroubleshootR53DNSResolution - AWS Systems Manager Runbook-Referenz für Automation

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWSSupport-TroubleshootR53DNSResolution

Beschreibung

Das AWSSupport-TroubleshootR53DNSResolution Runbook hilft bei der Behebung von DNS-Auflösungsproblemen, indem es den vollständigen Lösungspfad aus der Sicht einer Amazon Virtual Private Cloud (Amazon VPC) oder Amazon Elastic Compute Cloud (Amazon EC2) -Instance analysiert. Es identifiziert Konfigurationsprobleme in den Amazon VPC-DNS-Einstellungen, im Amazon Route 53 (Route 53) Resolver, in privaten gehosteten Zonen, in der DNS-Firewall und in öffentlichen DNS-Delegationsketten.

Unterstützte Szenarien:

  • Amazon VPC-DNS-Attribute (DNS-Unterstützung, DNS-Hostnamen) und DHCP-Optionssätze einschließlich benutzerdefinierter DNS-Servererkennung.

  • Bewertung der Rangfolge der Route-53-Resolver-Regeln und Profilzuordnungen.

  • Bewertung der DNS-Firewall-Regelgruppen, einschließlich Gruppenpriorität mit mehreren Regeln, Überprüfung der CNAME-Umleitung und Erkennung kontoübergreifender oder verwalteter Domänenlisten. AWS

  • Suche nach Datensätzen für private gehostete Zonen, Auflösung von Amazon VPC-Endpunkten für private gehostete Zonen und Erkennung von Überschreibungen, wenn DNS-Hostnamen deaktiviert sind.

  • Route 53 Resolver Outbound Endpoint-Netzwerkverbindungsanalyse (Sicherheitsgruppen, NACLs, Routing-Tabellen) und Erkennung von Weiterleitungsschleifen.

  • Überprüfung der öffentlichen DNS-Delegierungskette, Konsistenz des Nameservers, Erkennung lahmer Delegierung und Status der Domainregistrierung über RDAP.

Einschränkungen:

  • Dieses Runbook führt eine Analyse nur zum Lesen durch und ändert keine Ressourcen. AWS

  • CNAME-Einträge werden nicht zur weiteren Analyse an ihr endgültiges Ziel gejagt.

  • AWS-verwaltete Firewall-Domänenlisten und kontoübergreifende Firewall-Regelgruppen werden erkannt, ihr Inhalt kann jedoch nicht überprüft werden.

  • Cross-account Route 53-Profile werden erkannt, können aber nicht vollständig analysiert werden.

  • Das Verhalten der DNS-Firewall beim Öffnen oder Schließen eines Fehlers bei Nichtverfügbarkeit des Dienstes wird nicht bewertet.

  • Benutzerdefinierte DNS-Serverantworten, die über DHCP-Optionen konfiguriert wurden, können nicht überprüft werden.

  • Die Analyse des Status der Domainregistrierung ist nicht für alle Top-Level-Domains verfügbar.

Wie funktioniert das?

Das Runbook bestimmt den Analysepfad auf der Grundlage des angegebenen ResourceId Parameters. Wenn Sie eine Amazon EC2-Instance-ID oder Amazon VPC-ID angeben, führt es eine Amazon VPC-specific DNS-Analyse durch, einschließlich der Amazon VPC-DNS-Konfiguration, Route 53-Resolver-Regeln, DNS-Firewall-Evaluierung, Private Hosted Zones und Resolver-Outbound-Endpunktkonnektivität. Wenn Sie keine angeben, wird nur eine Analyse der ResourceId öffentlichen DNS-Auflösung durchgeführt. Nach Abschluss generiert das Runbook einen umfassenden Bericht mit Ergebnissen, Schweregraden und umsetzbaren Empfehlungen.

Führen Sie diese Automatisierung aus (Konsole)

Art des Dokuments

Automatisierung

Eigentümer

Amazon

Plattformen

/

Parameter

  • AutomationAssumeRole

    Typ: Zeichenfolge

    Beschreibung: (Optional) Der Amazon-Ressourcenname (ARN) der AWS Identity and Access Management (IAM) -Rolle, die es Systems Manager Automation ermöglicht, die Aktionen in Ihrem Namen auszuführen. Wenn keine Rolle angegeben ist, verwendet Systems Manager Automation die Berechtigungen des Benutzers, der dieses Runbook startet.

  • ResourceId

    Typ: Zeichenfolge

    Beschreibung: (Optional) Die Amazon Elastic Compute Cloud (Amazon EC2) -Instance ID (i-xxxxxxxxx) oder Amazon Virtual Private Cloud (Amazon VPC) ID (vpc-xxxxxxxxx) für die Amazon VPC-specific DNS-Analyse. Wenn nicht angegeben, führt dieses Runbook eine öffentliche DNS-Auflösungsanalyse anstelle einer Amazon-Analyse durch. VPC-specific

    Zulässiges Muster: ^(i-[a-z0-9]{8,17}|vpc-[a-f0-9]{8,17})?$

  • DnsRecordName

    Typ: Zeichenfolge

    Beschreibung: (Erforderlich) Der vollqualifizierte Domainname (FQDN) zur Analyse auf DNS-Auflösungsprobleme.

    Zulässiges Muster: ^([a-zA-Z0-9_]([a-zA-Z0-9_-]*[a-zA-Z0-9_])?\.)*[a-zA-Z0-9]([a-zA-Z0-9-]*[a-zA-Z0-9])?\.[a-zA-Z]{2,}\.?$

  • RecordType

    Typ: Zeichenfolge

    Beschreibung: (Optional) Der DNS-Eintragstyp, der für den angegebenen Domainnamen abgefragt werden soll.

    Zulässige Werte: A | AAAA | CNAME | CAA | MX | NAPTR | NS | PTR | SOA | SPF | SRV | TXT

    Standard: A

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert die folgenden Aktionen, um das Runbook erfolgreich zu verwenden.

  • ec2:DescribeInstances

  • ec2:DescribeVpcs

  • ec2:DescribeVpcAttribute

  • ec2:DescribeDhcpOptions

  • ec2:DescribeSecurityGroups

  • ec2:DescribeNetworkAcls

  • ec2:DescribeRouteTables

  • ec2:DescribeSubnets

  • ec2:GetManagedPrefixListEntries

  • route53:ListHostedZonesByVPC

  • route53:ListHostedZonesByName

  • route53:GetHostedZone

  • route53:ListResourceRecordSets

  • route53resolver:GetResolverRule

  • route53resolver:ListResolverRuleAssociations

  • route53resolver:ListResolverEndpoints

  • route53resolver:ListResolverEndpointIpAddresses

  • route53resolver:ListFirewallRuleGroupAssociations

  • route53resolver:GetFirewallRuleGroup

  • route53resolver:ListFirewallRules

  • route53resolver:GetFirewallDomainList

  • route53resolver:ListFirewallDomains

  • route53resolver:GetResolverConfig

  • route53resolver:GetResolverDnssecConfig

  • route53resolver:GetFirewallConfig

  • route53profiles:ListProfileAssociations

  • route53profiles:GetProfile

  • route53profiles:ListProfileResourceAssociations

Beispiel für eine Richtlinie: 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EC2DescribePermissions",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:DescribeVpcs",
                "ec2:DescribeVpcAttribute",
                "ec2:DescribeDhcpOptions",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeNetworkAcls",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSubnets"
            ],
            "Resource": "*"
        },
        {
            "Sid": "EC2PrefixListPermissions",
            "Effect": "Allow",
            "Action": [
                "ec2:GetManagedPrefixListEntries"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Route53GlobalPermissions",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZonesByVPC",
                "route53:ListHostedZonesByName"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Route53HostedZonePermissions",
            "Effect": "Allow",
            "Action": [
                "route53:GetHostedZone",
                "route53:ListResourceRecordSets"
            ],
            "Resource": "arn:aws:route53:::hostedzone/*"
        },
        {
            "Sid": "Route53ResolverListPermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:ListResolverEndpoints",
                "route53resolver:ListResolverRuleAssociations",
                "route53resolver:ListFirewallRuleGroupAssociations"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Route53ResolverEndpointPermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:ListResolverEndpointIpAddresses"
            ],
            "Resource": "arn:aws:route53resolver:*:*:resolver-endpoint/*"
        },
        {
            "Sid": "Route53ResolverSharedResourcePermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:GetResolverRule",
                "route53resolver:GetFirewallRuleGroup",
                "route53resolver:GetFirewallDomainList",
                "route53resolver:ListFirewallDomains"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Route53ResolverFirewallRulePermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:ListFirewallRules"
            ],
            "Resource": "arn:aws:route53resolver:*:*:firewall-rule-group/*"
        },
        {
            "Sid": "Route53ResolverConfigPermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:GetResolverConfig"
            ],
            "Resource": "arn:aws:route53resolver:*:*:resolver-config/*"
        },
        {
            "Sid": "Route53ResolverDnssecConfigPermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:GetResolverDnssecConfig"
            ],
            "Resource": "arn:aws:route53resolver:*:*:resolver-dnssec-config/*"
        },
        {
            "Sid": "Route53ResolverFirewallConfigPermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:GetFirewallConfig"
            ],
            "Resource": "arn:aws:route53resolver:*:*:firewall-config/*"
        },
        {
            "Sid": "Route53ProfilesPermissions",
            "Effect": "Allow",
            "Action": [
                "route53profiles:ListProfileAssociations",
                "route53profiles:GetProfile",
                "route53profiles:ListProfileResourceAssociations"
            ],
            "Resource": "*"
        }
    ]
}

Anweisungen

Folgen Sie diesen Schritten, um die Automatisierung zu konfigurieren:

  1. Navigieren Sie AWSSupport-TroubleshootR53DNSResolution in der AWS Systems Manager Konsole zu.

  2. Geben Sie für die Eingabeparameter Folgendes ein:

    • AutomationAssumeRole (Fakultativ):

      Der Amazon-Ressourcenname (ARN) der AWS Identity and Access Management (IAM) -Rolle, die es Systems Manager Automation ermöglicht, die Aktionen in Ihrem Namen durchzuführen. Wenn keine Rolle angegeben ist, verwendet Systems Manager Automation Ihre Berechtigungen.

    • ResourceId (Fakultativ):

      Die Amazon EC2-Instanz-ID (i-xxxxxxxxx) oder Amazon VPC-ID (vpc-xxxxxxxxx) für die Amazon VPC-specific DNS-Analyse. Wenn nicht angegeben, führt das Runbook nur eine öffentliche DNS-Auflösungsanalyse durch.

    • DnsRecordName (Erforderlich):

      Der vollqualifizierte Domainname (FQDN) zur Analyse auf Probleme mit der DNS-Auflösung. Beispiel, www.example.com.

    • RecordType (Fakultativ):

      Der DNS-Eintragstyp, der für den angegebenen Domainnamen abgefragt werden soll. Der Standardwert ist A. Zu den unterstützten Werten gehören: AAAAA,CNAME,MX,NS,PTR,SOA,,TXT, und andere.

  3. Wählen Sie Ausführen aus.

  4. Die Automatisierung wird initiiert.

  5. Das Automatisierungs-Runbook führt die folgenden Schritte aus:

    • BranchOnResourceType:

      Bestimmt den Analysepfad auf der Grundlage des ResourceId Typs. Wechselt zur Instance-Suche, zum Amazon VPC-Parametersatz oder direkt zur öffentlichen DNS-Analyse.

    • GetVpcIdFromInstance:

      Ruft die Amazon VPC-ID von der angegebenen Amazon EC2-Instance ab. Wird nur ausgeführt, wenn es sich um eine ResourceId Instanz-ID handelt.

    • GatherVpcConfiguration:

      Erfasst die Amazon VPC-Konfiguration einschließlich Amazon VPC-Details, DHCP-Optionen und DNS-Attributen (aktivieren, aktivierenDnsSupport). DnsHostnames

    • GatherRoute53ResolverConfiguration:

      Sammelt die gesamte Route 53-Resolver-Konfiguration, einschließlich Resolver-Einstellungen, Endpunkte, Route 53-Profile und DNS-Firewall-Regelgruppen.

    • GatherDnsResolutionSources:

      Sammelt alle DNS-Auflösungsquellen, einschließlich der passenden Resolver-Regeln, privat gehosteter Zonen, DNS-Einträge und Regeln. Auto-Defined

    • AnalyzeDnsServerConfiguration:

      Analysiert die Amazon VPC-DNS-Serverkonfiguration anhand der DHCP-Optionen. Ermittelt, ob AmazonProvidedDNS oder benutzerdefinierte DNS-Server verwendet werden.

    • EvaluateFirewallBlocking:

      Wertet DNS-Firewall-Regelgruppen aus, um festzustellen, ob sie die Zieldomäne blockieren oder umleiten.

    • DeterminePrecedence:

      Ermittelt anhand der entsprechenden Resolver-Regeln, privat gehosteten Zonen und Regeln, welcher DNS-Auflösungspfad Vorrang hat. Auto-Defined

    • BranchOnResolutionPath:

      Leitet basierend auf dem ermittelten Auflösungspfad (Resolver-Regel, Private Hosted Zone, Public DNS oder Auto-Defined Regel) an den entsprechenden Analysepfad weiter.

    • GatherResolverNetworkConfiguration:

      Erfasst die Netzwerkkonfiguration für den Resolver-Outbound-Endpunkt, einschließlich Sicherheitsgruppen, Netzwerk-ACLs, Routing-Tabellen und Präfixlisten.

    • AnalyzeResolverConnectivity:

      Analysiert die Konnektivität zwischen dem Resolver Outbound Endpoint und den Ziel-DNS-Servern. Wertet Sicherheitsgruppen, Netzwerk-ACLs und Routing-Tabellen aus, um Konnektivitätsprobleme zu identifizieren.

    • AnalyzePrivateHostedZone:

      Analysiert die Konfiguration der privaten gehosteten Zone und zeichnet die Zieldomäne auf.

    • AnalyzeDelegationChain:

      Analysiert die gesamte DNS-Delegierungskette von den Stammservern aus. Überprüft die Konsistenz des Nameservers, erkennt fehlende Delegationsebenen und sammelt RDAP-Daten für Informationen zur Domainregistrierung.

    • AnalyzePublicDnsResolution:

      Führt die öffentliche DNS-Auflösung durch, prüft, ob passende öffentliche Hosting-Zonen mit Route 53 übereinstimmen, und vergleicht die Nameserver für gehostete Zonen mit der Delegierungskette, um Abweichungen zu erkennen.

    • GenerateFinalReport:

      Generiert einen umfassenden DNS-Analysebericht, in dem die Ergebnisse aller ausgeführten Analyseschritte konsolidiert werden.

  6. Nach Abschluss des Vorgangs finden Sie im Abschnitt Ausgaben die detaillierten Ergebnisse der Ausführung.

Referenzen

Systems Manager Automation

AWS Dokumentation zum Service