View a markdown version of this page

AWSSupport-TroubleshootAPIGatewayVpcLinkIntegration - AWS Systems Manager Runbook-Referenz für Automation
DescriptionFunktionsweiseAnleitungenReferenzen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWSSupport-TroubleshootAPIGatewayVpcLinkIntegration

Description

Das AWSSupport-TroubleshootAPIGatewayVpcLinkIntegration Runbook hilft Ihnen bei der Fehlerbehebung bei Amazon API Gateway-Integrationen, die einen Amazon Virtual Private Cloud (Amazon VPC) -Link verwenden. Verwenden Sie dieses Runbook, um Konfigurationsprobleme zwischen den Integrationskomponenten zu identifizieren, ohne jede Ressource einzeln prüfen zu müssen. Das Runbook unterstützt REST-APIs und HTTP-APIs und führt die folgenden Prüfungen durch:

  • API- und Integrationserkennung — Identifiziert den API-Typ und ordnet den Ressourcenpfad und die HTTP-Methode der konfigurierten Integration zu.

  • Amazon VPC-Linkvalidierung — Überprüft, ob die Integration einen Amazon VPC-Link verwendet, und prüft, ob der Link verfügbar ist.

  • Backend-Analyse — Untersucht Elastic Load Balancing-Ressourcen oder AWS Cloud Map Service Discovery-Ressourcen, die mit der Integration verknüpft sind.

  • Netzwerkkonfiguration — Evaluiert Subnetz-Routing, Sicherheitsgruppen und Netzwerk-ACLs zwischen einem HTTP-API-Amazon-VPC-Link und seinem Load Balancer.

  • Listener- und Zielzustand — Validiert die Listener-Konfiguration, die Zielgruppen, den Zielzustand und die unterstützten Network Load Balancer- und Application Load Balancer-Architekturen.

  • TLSZertifikatsvalidierung — Überprüft den Zertifikatsstatus, die Vertrauensstellung, die Gültigkeit der Kette, das Ablaufdatum und die Hostnamenabdeckung, wenn die Integration verwendet wird. TLS

Einschränkungen

Dieses Runbook hat die folgenden Einschränkungen:

  • Das Runbook bietet eine detaillierte Backend-Analyse nur für Integrationen, die den Verbindungstyp verwenden. VPC_LINK

  • Für HTTP-APIs analysiert das Runbook Integrationen mit einem Elastic Load Balancing-Listener oder Service Discovery Service. AWS Cloud Map

  • Das Runbook validiert standardmäßige HTTP- und HTTPS-Listener-Konfigurationen an den Ports 80 und 443. Es validiert keine benutzerdefinierten Listener-Ports.

  • Das Runbook unterstützt keine kontoübergreifenden Amazon VPC-Link-Konfigurationen.

  • Für Amazon VPC-Links, die mit HTTP-APIs verknüpft sind, bewertet das Runbook die Sicherheitsgruppen- und Netzwerk-ACL-Konnektivität nur am TCP-Port 443.

Voraussetzungen

Bevor Sie die Automatisierung ausführen, stellen Sie sicher, dass die in angegebene IAM-Rolle über die aufgeführten Berechtigungen AutomationAssumeRole verfügt. Wenn Sie keine Rolle angeben, müssen Sie über diese Berechtigungen verfügen.

Funktionsweise

Das Runbook führt die folgende Überprüfung und Analyse durch:

  • Identifiziert, ob die angegebene API eine REST-API oder eine HTTP-API ist.

  • Ordnet den angegebenen Ressourcenpfad und die HTTP-Methode der entsprechenden Ressource, Route und Integration zu.

  • Ruft die Integration und die Amazon VPC-Link-Konfiguration ab und überprüft den Amazon VPC-Link-Status.

  • Analysiert die zugehörige Load Balancer- oder Service Discovery-Konfiguration. AWS Cloud Map

  • Validiert gegebenenfalls die Netzwerk-, Listener-, Zertifikat-, Zielgruppe- und Zielzustandskonfiguration.

  • Generiert einen Bericht mit erkannten Problemen, Konfigurationsdetails, Empfehlungen und relevanten AWS CLI-Befehlen.

Führen Sie diese Automatisierung aus (Konsole)

Art des Dokuments

Automatisierung

Eigentümer

Amazon

Plattformen

/

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert die folgenden Aktionen, um das Runbook erfolgreich zu verwenden.

  • apigateway:GET

  • elasticloadbalancing:DescribeLoadBalancers

  • elasticloadbalancing:DescribeListeners

  • elasticloadbalancing:DescribeRules

  • elasticloadbalancing:DescribeTargetGroups

  • elasticloadbalancing:DescribeTargetHealth

  • ec2:DescribeNetworkInterfaces

  • ec2:DescribeRouteTables

  • ec2:DescribeSubnets

  • ec2:DescribeSecurityGroups

  • ec2:DescribePrefixLists

  • ec2:DescribeNetworkAcls

  • servicediscovery:GetService

  • servicediscovery:GetNamespace

  • acm:DescribeCertificate

Beispiel für eine IAM-Richtlinie:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "APIGatewayReadAccess",
            "Effect": "Allow",
            "Action": "apigateway:GET",
            "Resource": [
                "arn:aws:apigateway:*::/restapis/*",
                "arn:aws:apigateway:*::/apis/*",
                "arn:aws:apigateway:*::/vpclinks/*"
            ]
        },
        {
            "Sid": "LoadBalancerReadAccess",
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:DescribeLoadBalancers",
                "elasticloadbalancing:DescribeListeners",
                "elasticloadbalancing:DescribeRules",
                "elasticloadbalancing:DescribeTargetGroups",
                "elasticloadbalancing:DescribeTargetHealth"
            ],
            "Resource": "*"
        },
        {
            "Sid": "EC2NetworkReadAccess",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribePrefixLists",
                "ec2:DescribeNetworkAcls"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ServiceDiscoveryReadAccess",
            "Effect": "Allow",
            "Action": [
                "servicediscovery:GetService",
                "servicediscovery:GetNamespace"
            ],
            "Resource": [
                "arn:aws:servicediscovery:*:ACCOUNTID:service/*",
                "arn:aws:servicediscovery:*:ACCOUNTID:namespace/*"
            ]
        },
        {
            "Sid": "CertificateReadAccess",
            "Effect": "Allow",
            "Action": "acm:DescribeCertificate",
            "Resource": "arn:aws:acm:*:ACCOUNTID:certificate/*"
        }
    ]
}

Anleitungen

Folgen Sie diesen Schritten, um die Automatisierung zu konfigurieren:

  1. Öffnen Sie AWSSupport-TroubleshootAPIGatewayVpcLinkIntegration in der Systems Manager-Konsole unter Dokumente.

  2. Wählen Sie Automatisierung ausführen.

  3. Geben Sie für die Eingabeparameter Folgendes ein:

    • AutomationAssumeRole (Fakultativ)

      Der Amazon-Ressourcenname (ARN) der IAM-Rolle, die Systems Manager Automation verwendet, um Aktionen in Ihrem Namen auszuführen. Wenn Sie keine Rolle angeben, verwendet Systems Manager Automation Ihre Berechtigungen.

    • ApiId (Erforderlich)

      Die 10-stellige ID der API Gateway-REST-API oder HTTP-API, für die Sie eine Fehlerbehebung durchführen möchten.

    • ApiResourcePath (Erforderlich)

      Der API-Ressourcenpfad mit der Amazon VPC-Link-Integration. Schließen Sie die Phase und den benutzerdefinierten Domain-Basispfad aus. Beispiel: /users/{id}, /api/v1/products oder /health. Wird / für den Stammpfad oder $default für die HTTP-API-Standardroute verwendet.

    • ApiMethod (Erforderlich)

      Die für den Ressourcenpfad konfigurierte HTTP-Methode. Zulässige Werte: GET POSTPUT,DELETE,PATCH,HEAD,OPTIONS, undANY. Wählen Sie für eine $default HTTP-API-RouteANY.

  4. Wählen Sie Ausführen.

  5. Die Automatisierung wird initiiert.

  6. Das Runbook führt die folgenden Schritte aus. Bei bedingten Verzweigungen werden möglicherweise Schritte übersprungen, die für die Integration nicht gelten:

    • ExtractApiTypeAndIntegrationParams— Identifiziert den API-Typ und ordnet den angegebenen Pfad und die angegebene Methode einer REST-API-Ressource oder HTTP-API-Route zu.

    • GetApiIntegration— Ruft den Integrationstyp, den URI, den Verbindungstyp, die Verbindungs-ID und die TLS Konfiguration ab.

    • BranchOnConnectionType— Setzt die detaillierte Analyse fort, wenn die Integration einen Amazon VPC-Link verwendet. Andernfalls generiert das Runbook den Bericht.

    • GetVpcLinkDetails— Ruft den Amazon VPC-Linkstatus, die Ziel-ARNs, Sicherheitsgruppen und Subnetze ab.

    • BranchOnVpcLinkStatus— Setzt die Analyse fort, wenn der Amazon VPC-Link verfügbar ist. Andernfalls generiert das Runbook den Bericht.

    • BranchOnAPIType— Leitet REST-APIs zur Load Balancer-Analyse und HTTP-APIs zur Backend-Integrationsanalyse weiter.

    • BranchOnIntegrationType— Leitet HTTP-APIs zur Load Balancer-Analyse oder AWS Cloud Map Service Discovery-Analyse weiter.

    • GetLoadBalancerDetails— Ruft den Status, den Typ, das Schema, die Amazon VPC, die Sicherheitsgruppen, Subnetze und die Sicherheitsgruppeneinstellungen des Load Balancers ab. PrivateLink

    • GetServiceDiscoveryDetails— Ruft die AWS Cloud Map Service- und Namespace-Details für ein Service Discovery-Backend ab.

    • BranchOnLoadBalancerAvailability— Setzt die Load Balancer-Analyse fort, wenn der Status erreicht ist. active Andernfalls generiert das Runbook den Bericht.

    • BranchOnVPCLinkVersion— Leitet Amazon VPC-Links für REST-APIs zur Listener-Validierung und Amazon VPC-Links für HTTP-APIs zur Überprüfung der Netzwerkkonfiguration weiter.

    • VerifySubnetAndSecurityGroupConfig— Validiert Subnetz-Routing, Sicherheitsgruppenregeln und Netzwerk-ACLs zwischen einem Amazon VPC-Link für HTTP-APIs und seinem Load Balancer.

    • DescribeAndValidateListenerConfig— Ruft die Listener-Details ab und überprüft die Protokoll- und Portkompatibilität mit dem Integrationsendpunkt.

    • BranchOnCertificateRequired— Leitet die TLS Listener zur Zertifikatsvalidierung weiter. Andere Zuhörer fahren mit der Zielgruppenanalyse fort.

    • DescribeAndValidateCertificate— Verwendet AWS Certificate Manager (ACM-) Daten zur Überprüfung des Zertifikatsstatus, der Vertrauenswürdigkeit, der Kette, des Ablaufs und der Hostnamenabdeckung.

    • DescribeTargetsAndTargetGroups— Ruft die Zielgruppe der Zuhörer ab und bewertet den Zustand und den Zieltyp der Zielgruppe.

    • BranchOnTargetHealth— Wird fortgesetzt, wenn alle Ziele gesund sind. Andernfalls generiert das Runbook den Bericht.

    • BranchOnTargetType— Leitet ein Application Load Balancer-Ziel zu einer zusätzlichen Listener-Analyse weiter, wenn der übergeordnete Load Balancer-Typ Network Load Balancer ist.

    • VerifyTargetALBListeners— Validiert die Kompatibilität von Network Load Balancer und Ziel-Application-Load Balancer-Protokoll, Port, Integritätsprüfung, Zielzustand und Zertifikatskompatibilität.

    • GenerateReport— Fasst die Ergebnisse in einem Bericht mit Konfigurationsdetails, erkannten Problemen, Empfehlungen und relevanten Referenzen zusammen.

  7. Nach Abschluss des Vorgangs finden Sie im Abschnitt „Ergebnisse“ den detaillierten Bericht und den Gesamtstatus.

Referenzen

Systems Manager Automation