`AWSSupport-TroubleshootMWAAEnvironmentCreation`

Description

Le AWSSupport-TroubleshootMWAAEnvironmentCreation runbook fournit des informations permettant de résoudre les problèmes liés à la création de l'environnement Amazon Managed Workflows for Apache Airflow (Amazon MWAA) et d'effectuer des vérifications ainsi que les raisons documentées dans la mesure du possible pour aider à identifier la défaillance.

Fonctionnement

Le runbook exécute les étapes suivantes :

Récupère les détails de l'environnement Amazon MWAA.
Vérifie les terminaux gérés par le client si l'environnement utilise la gestion des terminaux gérés par le client.
Vérifie les autorisations du rôle d'exécution.
Vérifie si l'environnement est autorisé à utiliser la AWS KMS clé fournie pour la journalisation et si le groupe de CloudWatch journaux requis existe.
Analyse les journaux du groupe de journaux fourni pour localiser les erreurs éventuelles.
Vérifie la configuration réseau pour vérifier si l'environnement Amazon MWAA a accès aux points de terminaison requis, y compris à la diversité des zones de disponibilité.
Génère un rapport contenant les résultats.

Exécutez cette automatisation (console)

Type de document

Automatisation

Propriétaire

Amazon

Plateformes

Autorisations IAM requises

Le AutomationAssumeRole paramètre nécessite les actions suivantes pour utiliser correctement le runbook.

airflow:GetEnvironment
cloudtrail:LookupEvents
ec2:DescribeNatGateways
ec2:DescribeNetworkAcls
ec2:DescribeNetworkInterfaces
ec2:DescribeRouteTables
ec2:DescribeSecurityGroups
ec2:DescribeSubnets
ec2:DescribeTransitGatewayAttachments
ec2:DescribeTransitGatewayVpcAttachments
ec2:DescribeTransitGateways
ec2:DescribeVpcAttribute
ec2:DescribeVpcEndpoints
ec2:DescribeVpcPeeringConnections
ec2:DescribeVpcs
ec2:SearchTransitGatewayRoutes
iam:GetPolicy
iam:GetPolicyVersion
iam:GetRolePolicy
iam:ListAttachedRolePolicies
iam:ListRolePolicies
iam:SimulateCustomPolicy
kms:DescribeKey
kms:GetKeyPolicy
kms:ListAliases
logs:DescribeLogGroups
logs:FilterLogEvents
s3:GetBucketAcl
s3:GetBucketPolicyStatus
s3:GetBucketPublicAccessBlock
s3:GetAccountPublicAccessBlock
ssm:GetAutomationExecution
ssm:StartAutomationExecution
sts:GetCallerIdentity

Exemple de stratégie



        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "ReadOnlyPermissions",
                    "Effect": "Allow",
                    "Action": [
                        "airflow:GetEnvironment",
                        "cloudtrail:LookupEvents",
                        "ec2:DescribeNatGateways",
                        "ec2:DescribeNetworkAcls",
                        "ec2:DescribeNetworkInterfaces",
                        "ec2:DescribeRouteTables",
                        "ec2:DescribeSecurityGroups",
                        "ec2:DescribeSubnets",
                        "ec2:DescribeTransitGatewayAttachments",
                        "ec2:DescribeTransitGatewayVpcAttachments",
                        "ec2:DescribeTransitGateways",
                        "ec2:DescribeVpcAttribute",
                        "ec2:DescribeVpcEndpoints",
                        "ec2:DescribeVpcPeeringConnections",
                        "ec2:DescribeVpcs",
                        "ec2:SearchTransitGatewayRoutes",
                        "iam:GetPolicy",
                        "iam:GetPolicyVersion",
                        "iam:GetRolePolicy",
                        "iam:ListAttachedRolePolicies",
                        "iam:ListRolePolicies",
                        "iam:SimulateCustomPolicy",
                        "kms:DescribeKey",
                        "kms:GetKeyPolicy",
                        "kms:ListAliases",
                        "logs:DescribeLogGroups",
                        "logs:FilterLogEvents",
                        "s3:GetBucketAcl",
                        "s3:GetBucketPolicyStatus",
                        "s3:GetBucketPublicAccessBlock",
                        "s3:GetAccountPublicAccessBlock",
                        "ssm:GetAutomationExecution",
                        "sts:GetCallerIdentity"
                    ],
                    "Resource": "*"
                },
                {
                    "Sid": "SSMStartConnectivityTroubleshooter",
                    "Effect": "Allow",
                    "Action": [
                        "ssm:StartAutomationExecution"
                    ],
                    "Resource": [
                        "arn:<aws|aws-cn|aws-us-gov>:ssm:*:*:automation-execution/*",
                        "arn:<aws|aws-cn|aws-us-gov>:ssm:*:*:document/AWSSupport-ConnectivityTroubleshooter"
                    ]
                }
            ]
        }

Instructions

Pour configurer l'automatisation, procédez comme suit :

Accédez à AWSSupport-TroubleshootMWAAEnvironmentCreation la section Documents dans Systems Manager.
Choisissez Execute automation (Exécuter l’automatisation). Assurez-vous que votre rôle IAM dispose des autorisations requises répertoriées dans la section précédente avant d'exécuter l'automatisation.
Pour les paramètres d'entrée, entrez les informations suivantes :
- AutomationAssumeRole (Facultatif) :
  
  Le nom de ressource Amazon (ARN) du rôle AWS Gestion des identités et des accès AWS (IAM) qui permet à Systems Manager Automation d'effectuer les actions en votre nom. Si aucun rôle n'est spécifié, Systems Manager Automation utilise les autorisations de l'utilisateur qui démarre ce runbook.
- EnvironmentName (Obligatoire) :
  
  Nom de l'environnement Amazon MWAA que vous souhaitez évaluer.
- LookbackPeriodInHours (Facultatif) :
  
  Spécifiez la date, en heures, à laquelle vous souhaitez rechercher CloudTrail des erreurs dans les événements et les CloudWatch journaux. Si vous ne spécifiez aucune valeur, l'automatisation utilise l'heure de la dernière mise à jour de l'environnement pour déterminer la fenêtre de visualisation. Le plafond par défaut est de 24 heures. Vous pouvez spécifier des valeurs supérieures à 24, mais cela peut entraîner des temps d'exécution plus longs.
Sélectionnez Execute (Exécuter).
L'automatisation démarre.
Le document exécute les étapes suivantes :
- GetMWAAEnvironmentDetails:
  
  Récupère les détails de l'environnement Amazon MWAA. Si cette étape échoue, le processus d'automatisation s'arrête et s'affiche sous la formeFailed.
- BranchOnEndpointManagement:
  
  Branche le flux de travail selon que l'environnement Amazon MWAA utilise ou non la gestion des terminaux gérée par le client. Si tel est le cas, l'automatisation procède à la vérification des terminaux gérés par le client.
- CheckCustomerManagedEndpoints:
  
  Vérifie la disponibilité et l'accessibilité des terminaux gérés par le client.
- CheckIAMPermissionsOnExecutionRole:
  
  Vérifie que le rôle d'exécution dispose des autorisations requises pour les ressources Amazon MWAA, Amazon S3 CloudWatch, CloudWatch Logs et Amazon SQS. S'il détecte une clé gérée par le client AWS Key Management Service (AWS KMS), l'automatisation valide les autorisations requises pour la clé. Cette étape utilise l'iam:SimulateCustomPolicyAPI pour vérifier si le rôle d'exécution de l'automatisation répond à toutes les autorisations requises.
- CheckKMSPolicyOnKMSKey:
  
  Vérifie si la politique de AWS KMS clé autorise l'environnement Amazon MWAA à utiliser la clé pour chiffrer les journaux. CloudWatch Si la AWS KMS clé est AWS gérée, l'automatisme ignore cette vérification.
- CheckIfRequiredLogGroupsExists:
  
  Vérifie si les groupes de CloudWatch journaux requis pour l'environnement Amazon MWAA existent. Si ce n'est pas le cas, l'automatisation vérifie CloudTrail la présence CreateLogGroup de et DeleteLogGroup les événements. Cette étape vérifie également la présence d'CreateLogGroupévénements.
- BranchOnLogGroupsFindings:
  
  Branches basées sur l'existence de groupes de CloudWatch journaux liés à l'environnement Amazon MWAA. S'il existe au moins un groupe de journaux, l'automatisation l'analyse pour localiser les erreurs. Si aucun groupe de journaux n'est présent, l'automatisation ignore l'étape suivante.
- CheckForErrorsInLogGroups:
  
  Analyse les groupes de CloudWatch journaux pour localiser les erreurs.
- GetRequiredEndPointsDetails:
  
  Récupère les points de terminaison de service utilisés par l'environnement Amazon MWAA.
- CheckNetworkConfiguration:
  
  Vérifie que la configuration réseau de l'environnement Amazon MWAA répond aux exigences, notamment en vérifiant les groupes de sécurité, les ACL réseau, les sous-réseaux, les configurations de tables de routage et la diversité des zones de disponibilité.
- CheckEndpointsConnectivity:
  
  Invoque l'automatisation AWSSupport-ConnectivityTroubleshooter enfant pour valider la connectivité de l'Amazon MWAA aux points de terminaison requis.
- CheckS3BlockPublicAccess:
  
  Vérifie si le compartiment Amazon S3 de l'environnement Amazon MWAA est Block Public Access activé et examine également les paramètres généraux du compte Amazon S3 Block Public Access.
- GenerateReport:
  
  Rassemble les informations de l'automatisation et imprime le résultat ou la sortie de chaque étape.
Une fois l'automatisation terminée, consultez la section Sorties pour obtenir des résultats d'exécution détaillés :
- Vérification des points de terminaison gérés par le client dans l'environnement Amazon MWAA :
  
  Vérifie la disponibilité et l'accessibilité des terminaux gérés par le client si l'environnement utilise la gestion des terminaux gérés par le client.
- Vérification des autorisations de rôle d'exécution de l'environnement Amazon MWAA :
  
  Vérifie si le rôle d'exécution dispose des autorisations requises pour les ressources Amazon MWAA, Amazon S3 CloudWatch, CloudWatch Logs et Amazon SQS. Si une AWS KMS clé gérée par le client est détectée, l'automatisation valide les autorisations requises pour la clé.
- Vérification de la politique relative aux AWS KMS clés d'environnement Amazon MWAA :
  
  Vérifie si le rôle d'exécution possède les autorisations nécessaires pour les ressources Amazon MWAA, Amazon S3 CloudWatch, CloudWatch Logs et Amazon SQS. En outre, si une AWS KMS clé gérée par le client est détectée, l'automatisation vérifie les autorisations requises pour cette clé.
- Vérification des groupes de CloudWatch journaux de l'environnement Amazon MWAA :
  
  Vérifie si les groupes de CloudWatch journaux requis pour l'environnement Amazon MWAA existent. Si ce n'est pas le cas, l'automatisation vérifie ensuite CloudTrail la localisation CreateLogGroup et les DeleteLogGroup événements.
- Vérification des tables de routage de l'environnement Amazon MWAA :
  
  Vérifie si les tables de routage Amazon VPC de l'environnement Amazon MWAA sont correctement configurées.
- Vérification des groupes de sécurité de l'environnement Amazon MWAA :
  
  Vérifie si les groupes de sécurité Amazon VPC de l'environnement Amazon MWAA sont correctement configurés.
- Vérification des ACL réseau de l'environnement Amazon MWAA :
  
  Vérifie si les groupes de sécurité Amazon VPC de l'environnement Amazon MWAA sont correctement configurés.
- Vérification des sous-réseaux de l'environnement Amazon MWAA :
  
  Vérifie si les sous-réseaux de l'environnement Amazon MWAA sont privés.
- Vérification de la diversité des zones de disponibilité de l'environnement Amazon MWAA :
  
  Vérifie si les sous-réseaux de l'environnement Amazon MWAA se trouvent dans des zones de disponibilité différentes pour une haute disponibilité.
- La vérification de la connectivité des terminaux requise pour l'environnement Amazon MWAA :
  
  Vérifie si l'environnement Amazon MWAA peut accéder aux points de terminaison requis. À cette fin, l'automatisation invoque l'AWSSupport-ConnectivityTroubleshooterautomatisation.
- Vérification du compartiment Amazon S3 de l'environnement Amazon MWAA :
  
  Vérifie si le compartiment Amazon S3 de l'environnement Amazon MWAA est Block Public Access activé et examine également les paramètres Amazon S3 Block Public Access du compte.
- La vérification de l'environnement Amazon MWAA CloudWatch enregistre les erreurs des groupes :
  
  Analyse les groupes de CloudWatch journaux existants de l'environnement Amazon MWAA pour localiser les erreurs.

Références

Systems Manager Automation

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Amazon Managed Workflows for Apache Airflow

AWSSupport-ValidateMWAADependencies