View a markdown version of this page

AWSSupport-TroubleshootEC2InstanceConnect - AWS Systems Manager Runbook-Referenz für Automation

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWSSupport-TroubleshootEC2InstanceConnect

Beschreibung

AWSSupport-TroubleshootEC2InstanceConnectDie Automatisierung hilft bei der Analyse und Erkennung von Fehlern, die die Verbindung zu einer Amazon Elastic Compute Cloud (Amazon EC2) -Instance mithilfe von Amazon EC2 Instance Connect verhindern. Es identifiziert Probleme, die durch ein nicht unterstütztes Amazon Machine Image (AMI), eine fehlende OS-level Paketinstallation oder -konfiguration, fehlende AWS Identity and Access Management (IAM) -Berechtigungen oder Probleme mit der Netzwerkkonfiguration verursacht werden.

Wie funktioniert es?

Das Runbook verwendet die Amazon EC2-Instance-ID, den Benutzernamen, den Verbindungsmodus, die Quell-IP CIDR, den SSH-Port und den Amazon-Ressourcennamen (ARN) für die IAM-Rolle oder den Benutzer, der Probleme mit Amazon EC2 Instance Connect hat. Anschließend werden die Voraussetzungen für die Verbindung zu einer Amazon EC2-Instance mithilfe von Amazon EC2 Instance Connect überprüft:

  • Die Instance läuft und befindet sich in einem fehlerfreien Zustand.

  • Die Instance befindet sich in einer AWS Region, die von Amazon EC2 Instance Connect unterstützt wird.

  • Das AMI der Instance wird von Amazon EC2 Instance Connect unterstützt.

  • Die Instance kann den Instance Metadata Service (IMDSv2) erreichen.

  • Das Amazon EC2 Instance Connect-Paket ist auf Betriebssystemebene ordnungsgemäß installiert und konfiguriert.

  • Die Netzwerkkonfiguration (Sicherheitsgruppen, Netzwerk-ACL und Routing-Tabellenregeln) ermöglicht die Verbindung zur Instance über Amazon EC2 Instance Connect.

  • Die IAM-Rolle oder der IAM-Benutzer, die bzw. der zur Nutzung von Amazon EC2 Instance Connect verwendet wird, hat Zugriff auf Push-Schlüssel für die Amazon EC2-Instance.

Wichtig

  • Um das Instance-AMI, die IMDSv2-Erreichbarkeit und die Amazon EC2 Instance Connect-Paketinstallation zu überprüfen, muss die Instance über SSM verwaltet werden. Andernfalls werden diese Schritte übersprungen. Weitere Informationen finden Sie unter Warum wird meine Amazon EC2-Instance nicht als verwalteter Knoten angezeigt.

  • Die Netzwerküberprüfung erkennt nur, ob Sicherheitsgruppen- und Netzwerk-ACL-Regeln den Verkehr blockieren, wenn SourceIp CIDR als Eingabeparameter angegeben wird. Andernfalls werden nur SSH-related Regeln angezeigt.

  • Verbindungen, die Amazon EC2 Instance Connect Endpoint verwenden, werden in diesem Runbook nicht validiert.

  • Bei privaten Verbindungen prüft die Automatisierung nicht, ob der SSH-Client auf dem Quellcomputer installiert ist und ob er die private IP-Adresse der Instance erreichen kann.

Art des Dokuments

Automatisierung

Eigentümer

Amazon

Plattformen

Linux

Parameter

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert die folgenden Aktionen, um das Runbook erfolgreich zu verwenden.

  • ec2:DescribeInstances

  • ec2:DescribeSecurityGroups

  • ec2:DescribeNetworkAcls

  • ec2:DescribeRouteTables

  • ec2:DescribeInternetGateways

  • iam:SimulatePrincipalPolicy

  • ssm:DescribeInstanceInformation

  • ssm:ListCommands

  • ssm:ListCommandInvocations

  • ssm:SendCommand

Anweisungen

Folgen Sie diesen Schritten, um die Automatisierung zu konfigurieren:

  1. Navigieren Sie AWSSupport-TroubleshootEC2InstanceConnect in der AWS Systems Manager Konsole zu.

  2. Wählen Sie Execute automation (Automatisierung ausführen).

  3. Geben Sie für die Eingabeparameter Folgendes ein:

    • InstanceId (Erforderlich):

      Die ID der Amazon EC2-Zielinstanz, zu der Sie mithilfe von Amazon EC2 Instance Connect keine Verbindung herstellen konnten.

    • AutomationAssumeRole (Fakultativ):

      Der ARN der IAM-Rolle, die es Systems Manager Automation ermöglicht, die Aktionen in Ihrem Namen auszuführen. Wenn keine Rolle angegeben ist, verwendet Systems Manager Automation die Berechtigungen des Benutzers, der dieses Runbook startet.

    • Benutzername (erforderlich):

      Der Benutzername, der verwendet wurde, um mithilfe von Amazon EC2 Instance Connect eine Verbindung zur Amazon EC2-Instance herzustellen. Er wird verwendet, um zu bewerten, ob IAM-Zugriff für diesen bestimmten Benutzer gewährt wird.

    • EC2InstanceConnectRoleOrUser(Erforderlich):

      Der ARN der IAM-Rolle oder des IAM-Benutzers, der Amazon EC2 Instance Connect nutzt, um Tasten an die Instance zu übertragen.

    • SSHPort (optional):

      Der auf der Amazon EC2-Instance konfigurierte SSH-Port. Der Standardwert ist 22. Die Portnummer muss dazwischen 1-65535 liegen.

    • SourceNetworkType (Fakultativ):

      Die Netzwerkzugriffsmethode für die Amazon EC2-Instance:

      • Browser: Sie stellen die Verbindung über die AWS Managementkonsole her.

      • Öffentlich: Sie stellen über das Internet eine Verbindung zu der Instance her, die sich in einem öffentlichen Subnetz befindet (z. B. über Ihren lokalen Computer).

      • Privat: Sie stellen die Verbindung über die private IP-Adresse der Instance her.

    • SourceIpCIDR (optional):

      Das Quell-CIDR, das die IP-Adresse des Geräts (z. B. Ihres lokalen Computers) enthält, von dem Sie sich mithilfe von Amazon EC2 Instance Connect anmelden werden. Beispiel: 172.31.48. 6/32. Wenn im öffentlichen oder privaten Zugriffsmodus kein Wert angegeben wird, bewertet das Runbook nicht, ob die Sicherheitsgruppe der Amazon EC2-Instance und die Netzwerk-ACL-Regeln SSH-Verkehr zulassen. Stattdessen werden SSH-related Regeln angezeigt.

    Eingabeparameterformular für die EC2 Instance Connect-Fehlerbehebung mit verschiedenen Feldern.

  4. Wählen Sie Ausführen aus.

  5. Die Automatisierung wird eingeleitet.

  6. Das Dokument führt die folgenden Schritte aus:

    • AssertInitialState:

      Stellt sicher, dass der Amazon EC2-Instance-Status läuft. Andernfalls endet die Automatisierung.

    • GetInstanceProperties:

      Ruft die aktuellen Amazon EC2-Instance-Eigenschaften ab (PlatformDetails PublicIpAddress, VpcId, SubnetId und MetadataHttpEndpoint).

    • GatherInstanceInformationFromSSM:

      Ruft den Ping-Status und die Betriebssystemdetails der Systems Manager-Instanz ab, wenn die Instance von SSM verwaltet wird.

    • CheckIfAWSRegionSupported:

      Prüft, ob sich die Amazon EC2-Instance in einer von Amazon EC2 Instance Connect unterstützten Region befindet. AWS

    • BranchOnIfAWSRegionSupported:

      Setzt die Ausführung fort, wenn die AWS Region von Amazon EC2 Instance Connect unterstützt wird. Andernfalls erstellt es die Ausgabe und beendet die Automatisierung.

    • CheckIfInstanceAMIIsSupported:

      Prüft, ob das der Instance zugeordnete AMI von Amazon EC2 Instance Connect unterstützt wird.

    • BranchOnIfInstanceAMIIsSupported:

      Wenn das Instance-AMI unterstützt wird, führt es die OS-level Prüfungen durch, z. B. die Erreichbarkeit von Metadaten und die Installation und Konfiguration des Amazon EC2 Instance Connect-Pakets. Andernfalls prüft es mithilfe der AWS API, ob HTTP-Metadaten aktiviert sind, und geht dann zur Netzwerküberprüfung über.

    • CheckIMDSReachabilityFromOs:

      Führt ein Bash-Skript auf der Amazon EC2-Linux-Zielinstanz aus, um zu überprüfen, ob sie IMDSv2 erreichen kann.

    • CheckEICPackageInstallation:

      Führt ein Bash-Skript auf der Amazon EC2-Linux-Zielinstanz aus, um zu überprüfen, ob das Amazon EC2 Instance Connect-Paket ordnungsgemäß installiert und konfiguriert ist.

    • CheckSSHConfigFromOs:

      Führt ein Bash-Skript auf der Amazon EC2-Linux-Zielinstanz aus, um zu überprüfen, ob der konfigurierte SSH-Port dem Eingabeparameter `sshPort entspricht. `

    • CheckMetadataHTTPEndpointIsEnabled:

      Prüft, ob der HTTP-Endpunkt des Instanz-Metadatendienstes aktiviert ist.

    • CheckEICNetworkAccess:

      Prüft, ob die Netzwerkkonfiguration (Sicherheitsgruppen, Netzwerk-ACL und Routing-Tabellenregeln) eine Verbindung zur Instance über Amazon EC2 Instance Connect zulässt.

    • CheckIAMRoleOrUserPermissions:

      Überprüft, ob die IAM-Rolle oder der IAM-Benutzer, der für die Nutzung von Amazon EC2 Instance Connect verwendet wird, über den angegebenen Benutzernamen Zugriff auf die Push-Schlüssel für die Amazon EC2-Instance hat.

    • MakeFinalOutput:

      Konsolidiert die Ausgabe aller vorherigen Schritte.

  7. Wenn Sie fertig sind, finden Sie im Abschnitt Ausgaben die detaillierten Ergebnisse der Ausführung:

    Ausführung, bei der die Zielinstanz alle erforderlichen Voraussetzungen erfüllt:

    Die Ergebnisse der Prüfung der Voraussetzungen für EC2 Instance Connect zeigen erfolgreiche Validierungen für verschiedene Konfigurationen.

    Ausführung, bei der das AMI der Ziel-Instance nicht unterstützt wird:

    Fehlermeldung, dass EC2 Instance Connect die angegebene AMI-Version nicht unterstützt.

Referenzen

Systems Manager Automation

AWS Dokumentation zum Service