View a markdown version of this page

AWSSupport-TroubleshootAPIGatewayVpcLinkIntegration - AWS Systems Manager Referencia del manual de procedimientos de Automatización
Description (Descripción)FuncionamientoInstruccionesReferencias

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWSSupport-TroubleshootAPIGatewayVpcLinkIntegration

Description (Descripción)

Este AWSSupport-TroubleshootAPIGatewayVpcLinkIntegration manual le ayuda a solucionar problemas relacionados con las integraciones de Amazon API Gateway que utilizan un enlace de Amazon Virtual Private Cloud (Amazon VPC). Utilice este manual para identificar los problemas de configuración en los componentes de la integración sin inspeccionar cada recurso por separado. El manual es compatible con las API REST y las API HTTP, y realiza las siguientes comprobaciones:

  • Descubrimiento de API e integraciones: identifica el tipo de API y hace coincidir la ruta del recurso y el método HTTP con la integración configurada.

  • Validación del enlace de Amazon VPC: verifica que la integración utilice un enlace de Amazon VPC y comprueba si el enlace está disponible.

  • Análisis de backend: examina los recursos de Elastic Load Balancing o los recursos de descubrimiento AWS Cloud Map de servicios asociados a la integración.

  • Configuración de red: evalúa el enrutamiento de subredes, los grupos de seguridad y las ACL de red entre un enlace de Amazon VPC de la API HTTP y su balanceador de cargas.

  • Estado del receptor y del objetivo: valida la configuración del receptor, los grupos de destino, el estado de los objetivos y las arquitecturas compatibles con el balanceador de carga de red y el balanceador de carga de aplicaciones.

  • TLSvalidación de certificados: comprueba el estado del certificado, la confianza, la validez de la cadena, la caducidad y la cobertura de los nombres de host cuando se utiliza la integración. TLS

Limitaciones

Este manual tiene las siguientes limitaciones:

  • El manual proporciona un análisis detallado del backend solo para las integraciones que utilizan el tipo de conexión. VPC_LINK

  • En el caso de las API HTTP, el manual analiza las integraciones con un servicio de detección de servicios o de escucha de Elastic Load Balancing. AWS Cloud Map

  • El manual valida las configuraciones estándar de los oyentes HTTP y HTTPS en los puertos 80 y 443. No valida los puertos de escucha personalizados.

  • El runbook no admite configuraciones de enlaces de Amazon VPC entre cuentas.

  • En el caso de los enlaces de Amazon VPC asociados a las API HTTP, el manual evalúa la conectividad de las ACL de red y grupos de seguridad únicamente en el puerto TCP 443.

Requisitos previos

Antes de ejecutar la automatización, asegúrese de que el rol de IAM especificado en AutomationAssumeRole tenga los permisos indicados. Si no especificas un rol, debes tener estos permisos.

Funcionamiento

El runbook lleva a cabo la siguiente validación y análisis:

  • Identifica si la API especificada es una API REST o una API HTTP.

  • Hace coincidir la ruta de recursos y el método HTTP proporcionados con el recurso, la ruta y la integración aplicables.

  • Recupera la configuración de la integración y del enlace de Amazon VPC y verifica el estado del enlace de Amazon VPC.

  • Analiza el balanceador de cargas o la configuración de detección de servicios asociados. AWS Cloud Map

  • Valida la configuración de la red, el receptor, el certificado, el grupo objetivo y el estado del destino, cuando corresponde.

  • Genera un informe con los problemas detectados, los detalles de configuración, las recomendaciones y los comandos de la AWS CLI pertinentes.

Ejecuta esta automatización (consola)

Tipo de documento

Automatización

Propietario

Amazon

Plataformas

/

Permisos de IAM necesarios

El parámetro AutomationAssumeRole requiere las siguientes acciones para utilizar el manual de procedimientos correctamente.

  • apigateway:GET

  • elasticloadbalancing:DescribeLoadBalancers

  • elasticloadbalancing:DescribeListeners

  • elasticloadbalancing:DescribeRules

  • elasticloadbalancing:DescribeTargetGroups

  • elasticloadbalancing:DescribeTargetHealth

  • ec2:DescribeNetworkInterfaces

  • ec2:DescribeRouteTables

  • ec2:DescribeSubnets

  • ec2:DescribeSecurityGroups

  • ec2:DescribePrefixLists

  • ec2:DescribeNetworkAcls

  • servicediscovery:GetService

  • servicediscovery:GetNamespace

  • acm:DescribeCertificate

Política de IAM de ejemplo:


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "APIGatewayReadAccess",
            "Effect": "Allow",
            "Action": "apigateway:GET",
            "Resource": [
                "arn:aws:apigateway:*::/restapis/*",
                "arn:aws:apigateway:*::/apis/*",
                "arn:aws:apigateway:*::/vpclinks/*"
            ]
        },
        {
            "Sid": "LoadBalancerReadAccess",
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:DescribeLoadBalancers",
                "elasticloadbalancing:DescribeListeners",
                "elasticloadbalancing:DescribeRules",
                "elasticloadbalancing:DescribeTargetGroups",
                "elasticloadbalancing:DescribeTargetHealth"
            ],
            "Resource": "*"
        },
        {
            "Sid": "EC2NetworkReadAccess",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribePrefixLists",
                "ec2:DescribeNetworkAcls"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ServiceDiscoveryReadAccess",
            "Effect": "Allow",
            "Action": [
                "servicediscovery:GetService",
                "servicediscovery:GetNamespace"
            ],
            "Resource": [
                "arn:aws:servicediscovery:*:ACCOUNTID:service/*",
                "arn:aws:servicediscovery:*:ACCOUNTID:namespace/*"
            ]
        },
        {
            "Sid": "CertificateReadAccess",
            "Effect": "Allow",
            "Action": "acm:DescribeCertificate",
            "Resource": "arn:aws:acm:*:ACCOUNTID:certificate/*"
        }
    ]
}

Instrucciones

Siga estos pasos para configurar la automatización:

  1. AWSSupport-TroubleshootAPIGatewayVpcLinkIntegrationÁbralo en la consola de Systems Manager, en la sección Documentos.

  2. Elija Ejecutar automatización.

  3. Para los parámetros de entrada, introduzca lo siguiente:

    • AutomationAssumeRole (Opcional)

      El nombre de recurso de Amazon (ARN) de la función de IAM que Systems Manager Automation utiliza para realizar acciones en su nombre. Si no especifica ningún rol, Systems Manager Automation usa sus permisos.

    • ApiId (Obligatorio)

      El identificador de 10 caracteres de la API REST o HTTP de API Gateway para la que quieres solucionar el problema.

    • ApiResourcePath (Obligatorio)

      La ruta de recursos de la API con la integración del enlace de Amazon VPC. Excluya la ruta base del dominio personalizado y de fase. Por ejemplo, /users/{id}, /api/v1/products o /health. /Utilícela para la ruta raíz o $default para la ruta predeterminada de la API HTTP.

    • ApiMethod (Obligatorio)

      El método HTTP configurado para la ruta del recurso. Valores permitidos: GETPOST,PUT,DELETE, PATCHHEAD,OPTIONS, yANY. Para una $default ruta de API HTTP, elijaANY.

  4. Elija Ejecutar.

  5. Se inicia la automatización.

  6. El libro de instrucciones lleva a cabo los siguientes pasos. Las ramas condicionales pueden omitir los pasos que no se aplican a la integración:

    • ExtractApiTypeAndIntegrationParams— Identifica el tipo de API y hace coincidir la ruta y el método proporcionados con un recurso de API REST o una ruta de API HTTP.

    • GetApiIntegration— Recupera el tipo de integración, el URI, el tipo de conexión, el ID de conexión y la TLS configuración.

    • BranchOnConnectionType— Continúa con un análisis detallado cuando la integración utiliza un enlace de Amazon VPC. De lo contrario, el libro de operaciones genera el informe.

    • GetVpcLinkDetails— Recupera el estado del enlace de Amazon VPC, los ARN de destino, los grupos de seguridad y las subredes.

    • BranchOnVpcLinkStatus— Continúa con el análisis cuando el enlace de Amazon VPC está disponible. De lo contrario, el manual genera el informe.

    • BranchOnAPIType— Dirige las API REST al análisis del balanceador de cargas y las API HTTP al análisis de la integración de back-end.

    • BranchOnIntegrationType— Dirige las API HTTP al análisis del balanceador de cargas o al análisis del descubrimiento de AWS Cloud Map servicios.

    • GetLoadBalancerDetails— Recupera el estado, el tipo, el esquema, la Amazon VPC, los grupos de seguridad, las subredes y la configuración del grupo de seguridad del balanceador de cargas. PrivateLink

    • GetServiceDiscoveryDetails— Recupera los detalles del AWS Cloud Map servicio y del espacio de nombres para un backend de detección de servicios.

    • BranchOnLoadBalancerAvailability— Continúa con el análisis del balanceador de cargas cuando su estado es. active De lo contrario, el libro de operaciones genera el informe.

    • BranchOnVPCLinkVersion— Dirige los enlaces de Amazon VPC para las API de REST a la validación de los oyentes y los enlaces de Amazon VPC para las API HTTP a la validación de la configuración de red.

    • VerifySubnetAndSecurityGroupConfig— Valida el enrutamiento de subredes, las reglas de los grupos de seguridad y las ACL de red entre un enlace de Amazon VPC para las API HTTP y su balanceador de cargas.

    • DescribeAndValidateListenerConfig— Recupera los detalles del oyente y valida la compatibilidad del protocolo y el puerto con el punto final de integración.

    • BranchOnCertificateRequired— Dirige a los TLS oyentes a la validación del certificado. Otros oyentes siguen centrándose en el análisis de los grupos.

    • DescribeAndValidateCertificate— Utiliza datos AWS Gestor de certificados (ACM) para validar el estado del certificado, la confianza, la cadena, la caducidad y la cobertura de los nombres de host.

    • DescribeTargetsAndTargetGroups— Recupera el grupo objetivo de oyentes y evalúa el estado y el tipo de objetivo.

    • BranchOnTargetHealth— Continúa cuando todos los objetivos están sanos. De lo contrario, el manual genera el informe.

    • BranchOnTargetType— Cuando el tipo de balanceador de carga principal es Network Load Balancer, redirige un objetivo del balanceador de carga de aplicaciones a un análisis adicional del oyente.

    • VerifyTargetALBListeners— Valida la compatibilidad entre el protocolo, el puerto, la verificación de estado, el estado de los objetivos y los certificados del balanceador de carga de red y el Application Load Balancer de destino.

    • GenerateReport— Consolida los hallazgos en un informe con detalles de configuración, problemas detectados, recomendaciones y referencias relevantes.

  7. Una vez finalizado, revise la sección Resultados para ver el informe detallado y el estado general.

Referencias

Automatización de Systems Manager