View a markdown version of this page

AWSSupport-TroubleshootCloudWatchAgent - AWS Systems Manager Référence du dossier d’exploitation Automation

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWSSupport-TroubleshootCloudWatchAgent

Description

Le AWSSupport-TroubleshootCloudWatchAgent runbook automatise le dépannage de l' CloudWatch agent Amazon sur vos instances Amazon Elastic Compute Cloud (Amazon EC2). Le runbook effectue ce dépannage par le biais d'une série de vérifications de base et (facultatives) étendues.

Les contrôles de base sont les suivants :

  • Rechercher un profil d'instance Gestion des identités et des accès AWS (IAM)

  • Vérifiez si les autorisations IAM d'Amazon CloudWatch Agent nécessaires sont associées à l'instance Amazon EC2

Les vérifications étendues ne sont effectuées que si l'ID d'instance Amazon EC2 fourni est une instance gérée par Systems Manager. Ces contrôles étendus incluent les éléments suivants :

  • Vérifiez le statut de l' CloudWatch agent Amazon sur l'instance

  • Analysez les journaux de l' CloudWatch agent Amazon pour détecter les problèmes courants et les étapes de dépannage pertinentes

  • Compressez les journaux et les fichiers de configuration pertinents sur l'instance Amazon EC2 et téléchargez-les éventuellement dans un compartiment Amazon Simple Storage Service (Amazon S3) de votre choix

  • Effectuez un contrôle de connectivité entre l'instance et les points de terminaison requis

Important

Lorsque le RunVpcReachabilityAnalyzer paramètre est défini surtrue, ce runbook détermine s'il est nécessaire d'appeler le runbook enfant,. AWSSupport-AnalyzeAWSEndpointReachabilityFromEC2 Le runbook enfant utilise VPC Reachability Analyzer, qui a un coût associé. Pour plus d'informations sur la tarification, consultez la documentation relative à la tarification d'Amazon VPC.

Important

Ce runbook vérifie uniquement le rôle de votre profil d'instance IAM pour les autorisations nécessaires. Si vous vous fiez plutôt aux informations d'identification définies dans un .aws/credentials fichier, les résultats de l'verifyIamPermissionsétape peuvent être inexacts.

Fonctionnement

Le runbook exécute les étapes suivantes :

  • get InstanceProfile  : Vérifie si l'instance Amazon EC2 fournie est associée à un profil d'instance IAM.

  • vérifier IamPermissions  : vérifie le profil d'instance associé à l'instance pour déterminer si les autorisations IAM nécessaires sont appliquées.

  • get InstanceInformation  : vérifie si l'instance possède un agent Systems Manager actif et récupère le type de système d'exploitation de l'instance.

  • get AgentStatus  : vérifie le statut de l' CloudWatch agent Amazon sur l'instance (vérification étendue).

  • analyzeLogs/analyzeLogsWindows: analyse et génère les résultats des journaux des CloudWatch agents Amazon en fonction du type de système d'exploitation.

  • collectLogs/collectLogsWindows: regroupe et génère les fichiers de dépannage d'Amazon CloudWatch Agent pertinents en fonction du type de système d'exploitation.

  • checkEndpointReachability/checkEndpointReachabilityWindows: vérifie si l'instance peut atteindre les points de terminaison requis en fonction du type de système d'exploitation.

  • analyser AwsEndpointReachabilityFromEC2  : appelle le runbook d'automatisation de l'enfant pour vérifier l'accessibilité de l'instance sélectionnée aux points de terminaison requis (si cette option est activée).

Exécutez cette automatisation (console)

Type de document

 Automatisation

Propriétaire

Amazon

Plateformes

/

Autorisations IAM requises

Le AutomationAssumeRole paramètre nécessite les actions suivantes pour utiliser correctement le runbook.

  • EC2 : DescribeInstances

  • iam : GetInstanceProfile

  • iam : GetRole

  • iam : ListAttachedRolePolicies

  • iam : ListRolePolicies

  • iam : GetRolePolicy

  • iam : GetPolicy

  • iam : GetPolicyVersion

  • iam : SimulatePrincipalPolicy

  • sms : DescribeInstanceInformation

  • sms : SendCommand

  • sms : GetCommandInvocation

  • sms : DescribeInstanceAssociationsStatus

  • sms : StartAutomationExecution

Exemple de politique : 

{
        "Version": "2012-10-17",
        "Statement": [
            {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "iam:GetInstanceProfile",
                "iam:GetRole",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:GetRolePolicy",
                "iam:GetPolicy",
                "iam:GetPolicyVersion",
                "iam:SimulatePrincipalPolicy",
                "ssm:DescribeInstanceInformation",
                "ssm:SendCommand",
                "ssm:GetCommandInvocation",
                "ssm:DescribeInstanceAssociationsStatus",
                "ssm:StartAutomationExecution"
            ],
            "Resource": "*"
            }
        ]
        }

Instructions

Pour configurer l'automatisation, procédez comme suit :

  1. Accédez à AWSSupport-TroubleshootCloudWatchAgent la section Documents dans Systems Manager.

  2. Sélectionnez Execute automation (Exécuter l'automatisation).

  3. Pour les paramètres d'entrée, entrez les informations suivantes :

    • AutomationAssumeRole (Facultatif) :

      • Description : (Facultatif) L'ARN du rôle IAM qui permet à Systems Manager Automation d'effectuer les actions en votre nom. Si aucun rôle n'est spécifié, Systems Manager Automation utilise les autorisations de l'utilisateur qui démarre ce runbook.

      • Type : AWS::IAM::Role::Arn

    • InstanceId (Obligatoire) :

      • Description : (Obligatoire) L'ID de l'instance Amazon EC2 sur laquelle vous souhaitez dépanner l' CloudWatch agent Amazon.

      • Type : AWS::EC2::Instance::Id

      • Autoriser le schéma : ^i-[0-9a-f]{8,17}$

    • S3UploadBucket (Facultatif) :

      • Description : (Facultatif) Le nom d'un compartiment Amazon S3 pour charger les journaux Amazon CloudWatch Agent collectés. Le profil d'instance Amazon EC2 doit disposer des autorisations appropriées pour charger des fichiers dans ce compartiment. Cela nécessite également que l'instance Amazon EC2 cible soit une instance gérée par Systems Manager.

      • Type : AWS::S3::Bucket::Name

      • Autoriser le schéma : ^$|^[a-z0-9][a-z0-9.-]{1,61}[a-z0-9]$

      • Valeur par défaut : ""

    • S3BucketOwnerAccountId (Facultatif) :

      • Description : (Facultatif) Le numéro de AWS compte auquel appartient le compartiment Amazon S3 dans lequel vous souhaitez télécharger les journaux des CloudWatch agents Amazon. Si vous ne modifiez pas ce paramètre, les runbooks utilisent l'ID de AWS compte de l'utilisateur ou du rôle dans lequel l'automatisation s'exécute.

      • Type : String

      • Autoriser le schéma : ^\\{\\{ global:ACCOUNT_ID \\}\\}$|^[0-9]{12}$

      • Valeur par défaut : {{ global:ACCOUNT_ID }}

    • Vérifiez le point de terminaison EC2 (facultatif) :

      • Description : (Facultatif) Spécifiez true si la configuration de votre agent utilise l'option append_dimensions permettant d'ajouter des dimensions métriques Amazon EC2 aux métriques collectées par l'agent. Lorsqu'il append_dimensions est utilisé, l' CloudWatch agent Amazon doit être connecté au point de terminaison de l'API Amazon EC2. Des tests de connectivité supplémentaires seront donc effectués via les contrôles étendus.

      • Type : String

      • Valeurs autorisées : [true, false]

      • Valeur par défaut : false

    • RunVpcReachabilityAnalyzer (Facultatif) :

      • Description : (Facultatif) Spécifiez true pour exécuter l'automatisation AWSSupport-AnalyzeAWSEndpointReachabilityFromEC2 enfant si un problème réseau est déterminé par les vérifications étendues, ou si l'ID d'instance spécifié n'est pas une instance gérée.

      • Type : Boolean

      • Valeur par défaut : false

    • RetainVpcReachabilityAnalysis (Facultatif) :

      • Description : (Facultatif) Uniquement pertinent si RunVpcReachabilityAnalyzer c'est le castrue. Spécifiez true de conserver le chemin d'analyse du réseau et les analyses associées créées par VPC Reachability Analyzer. Par défaut, ces ressources sont supprimées après une analyse réussie.

      • Type : Boolean

      • Valeur par défaut : false

  4. Sélectionnez Exécuter.

  5. L'automatisation démarre.

  6. Le document exécute les étapes suivantes :

    • obtenir InstanceProfile  :

      Vérifie si l'instance Amazon EC2 fournie est associée à un profil d'instance IAM.

    • succursale OnInstanceProfileStatus  :

      Branche l'automatisation pour vérifier les autorisations de profil d'instance nécessaires si le profil d'instance est attaché à l'instance.

    • vérifier IamPermissions  :

      Vérifie le profil d'instance associé à l'instance pour déterminer si les autorisations IAM nécessaires sont appliquées.

    • obtenir InstanceInformation  :

      Vérifie si l'instance possède un agent Systems Manager actif et récupère le type de système d'exploitation de l'instance.

    • succursale OnManagedInstance  :

      Branche l'automatisation pour effectuer des contrôles étendus si l'instance est gérée.

    • obtenir AgentStatus  :

      Vérifie le statut de l' CloudWatch agent Amazon sur l'instance.

    • succursale OnInstanceOsType  :

      Branche l'automatisation pour exécuter une collection/analysis commande de journalisation spécifique en fonction du système d'exploitation.

    • analyzeLogs/analyzeLogsWindows:

      Analyse et génère les résultats des journaux des CloudWatch agents Amazon en fonction du type de système d'exploitation.

    • collectLogs/collectLogsWindows:

      Regroupe et génère les fichiers de dépannage d'Amazon CloudWatch Agent pertinents en fonction du type de système d'exploitation.

    • checkEndpointReachability/checkEndpointReachabilityWindows:

      Vérifie si l'instance peut atteindre les points de terminaison requis en fonction du type de système d'exploitation.

    • succursale OnRunVpcReachabilityAnalyzer  :

      Branche l'automatisation pour exécuter une analyse d'accessibilité des VPC si elle est activée et si des problèmes de réseau sont détectés.

    • Générer des points de terminaison  :

      Génère un point de terminaison à vérifier à partir des échecs de vérification étendus et de la valeur deCheckEC2Endpoint.

    • analyser AwsEndpointReachabilityFromEC2  :

      Appelle le runbook d'automatisation AWSSupport-AnalyzeAWSEndpointReachabilityFromEC2 pour vérifier l'accessibilité de l'instance sélectionnée aux points de terminaison requis.

    • Résultats des résultats :

      Affiche les résultats des étapes d'exécution de l'automatisation.

  7. Une fois l'exécution terminée, consultez la section Sorties pour obtenir les résultats détaillés de l'exécution.

Références

Systems Manager Automation