Memecahkan masalah ketersediaan node terkelola menggunakan ssm-cli - AWS Systems Manager

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Memecahkan masalah ketersediaan node terkelola menggunakan ssm-cli

ssm-cliIni adalah alat baris perintah mandiri yang termasuk dalam SSM Agent instalasi. Ketika Anda menginstal SSM Agent 3.1.501.0 atau yang lebih baru pada mesin, Anda dapat menjalankan ssm-cli perintah pada mesin itu. Output dari perintah tersebut membantu Anda menentukan apakah mesin memenuhi persyaratan minimum untuk EC2 instans Amazon atau EC2 non-mesin yang akan dikelola oleh AWS Systems Manager, dan oleh karena itu ditambahkan ke daftar node terkelola di Systems Manager. (SSM Agentversi 3.1.501.0 dirilis pada November 2021.)

Persyaratan minimum

Agar EC2 instans Amazon atau EC2 non-mesin dikelola oleh AWS Systems Manager, dan tersedia dalam daftar node terkelola, instans harus memenuhi tiga persyaratan utama:

  • SSM Agentharus diinstal dan dijalankan pada mesin dengan sistem operasi yang didukung.

    Beberapa AWS managed Amazon Machine Images (AMIs) for EC2 dikonfigurasi untuk meluncurkan instance dengan SSM Agentprainstal. (Anda juga dapat mengonfigurasi kustom AMI untuk pra-instalSSM Agent.) Untuk informasi selengkapnya, lihat Temukan AMIs dengan SSM Agent terinstal.

  • Profil instans AWS Identity and Access Management (IAM) (untuk EC2 instance) atau peran IAM layanan (untuk EC2 non-mesin) yang menyediakan izin yang diperlukan untuk berkomunikasi dengan layanan Systems Manager harus dilampirkan ke mesin.

  • SSM Agentharus dapat terhubung ke titik akhir Systems Manager untuk mendaftarkan dirinya dengan layanan. Setelah itu, node yang dikelola harus tersedia untuk layanan, yang dikonfirmasi oleh layanan yang mengirimkan sinyal setiap lima menit untuk memeriksa kesehatan node yang dikelola.

Perintah yang telah dikonfigurasi sebelumnya di ssm-cli

Perintah yang telah dikonfigurasi sebelumnya disertakan yang mengumpulkan informasi yang diperlukan untuk membantu Anda mendiagnosis mengapa mesin yang telah Anda konfirmasi berjalan tidak disertakan dalam daftar node terkelola di Systems Manager. Perintah ini dijalankan ketika Anda menentukan get-diagnostics opsi.

Pada mesin, jalankan perintah berikut untuk digunakan ssm-cli untuk membantu Anda memecahkan masalah ketersediaan node terkelola.

Linux & macOS
ssm-cli get-diagnostics --output table
Windows

Pada Windows Server mesin, Anda harus menavigasi ke C:\Program Files\Amazon\SSM direktori sebelum menjalankan perintah.

ssm-cli.exe get-diagnostics --output table
PowerShell

Pada Windows Server mesin, Anda harus menavigasi ke C:\Program Files\Amazon\SSM direktori sebelum menjalankan perintah.

.\ssm-cli.exe get-diagnostics --output table

Perintah mengembalikan output sebagai tabel yang mirip dengan berikut ini.

catatan

Pemeriksaan konektivitas kessmmessages,,s3, kmslogs, dan monitoring titik akhir adalah untuk fitur opsional tambahan seperti Session Manager yang dapat masuk ke Amazon Simple Storage Service (Amazon S3) atau CloudWatch Amazon Logs, dan AWS Key Management Service menggunakan enkripsi ().AWS KMS

Linux & macOS
[root@instance]# ssm-cli get-diagnostics --output table
┌───────────────────────────────────────┬─────────┬───────────────────────────────────────────────────────────────────────┐
│ Check                                 │ Status  │ Note                                                                  │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ EC2 IMDS                              │ Success │ IMDS is accessible and has instance id i-0123456789abcdefa in Region  │
│                                       │         │ us-east-2                                                             │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ Hybrid instance registration          │ Skipped │ Instance does not have hybrid registration                            │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ Connectivity to ssm endpoint          │ Success │ ssm.us-east-2.amazonaws.com is reachable                              │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ Connectivity to ec2messages endpoint  │ Success │ ec2messages.us-east-2.amazonaws.com is reachable                      │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ Connectivity to ssmmessages endpoint  │ Success │ ssmmessages.us-east-2.amazonaws.com is reachable                      │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ Connectivity to s3 endpoint           │ Success │ s3.us-east-2.amazonaws.com is reachable                               │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ Connectivity to kms endpoint          │ Success │ kms.us-east-2.amazonaws.com is reachable                              │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ Connectivity to logs endpoint         │ Success │ logs.us-east-2.amazonaws.com is reachable                             │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ Connectivity to monitoring endpoint   │ Success │ monitoring.us-east-2.amazonaws.com is reachable                       │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ AWS Credentials                       │ Success │ Credentials are for                                                   │
│                                       │         │ arn:aws:sts::123456789012:assumed-role/Fullaccess/i-0123456789abcdefa │
│                                       │         │ and will expire at 2021-08-17 18:47:49 +0000 UTC                      │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ Agent service                         │ Success │ Agent service is running and is running as expected user              │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ Proxy configuration                   │ Skipped │ No proxy configuration detected                                       │
├───────────────────────────────────────┼─────────┼───────────────────────────────────────────────────────────────────────┤
│ SSM Agent version                     │ Success │ SSM Agent version is 3.0.1209.0, latest available agent version is    │
│                                       │         │ 3.1.192.0                                                             │
└───────────────────────────────────────┴─────────┴───────────────────────────────────────────────────────────────────────┘
Windows Server and PowerShell
PS C:\Program Files\Amazon\SSM> .\ssm-cli.exe get-diagnostics --output table      
┌───────────────────────────────────────┬─────────┬─────────────────────────────────────────────────────────────────────┐
│ Check                                 │ Status  │ Note                                                                │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ EC2 IMDS                              │ Success │ IMDS is accessible and has instance id i-0123456789EXAMPLE in       │
│                                       │         │ Region us-east-2                                                    │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ Hybrid instance registration          │ Skipped │ Instance does not have hybrid registration                          │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ Connectivity to ssm endpoint          │ Success │ ssm.us-east-2.amazonaws.com is reachable                            │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ Connectivity to ec2messages endpoint  │ Success │ ec2messages.us-east-2.amazonaws.com is reachable                    │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ Connectivity to ssmmessages endpoint  │ Success │ ssmmessages.us-east-2.amazonaws.com is reachable                    │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ Connectivity to s3 endpoint           │ Success │ s3.us-east-2.amazonaws.com is reachable                             │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ Connectivity to kms endpoint          │ Success │ kms.us-east-2.amazonaws.com is reachable                            │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ Connectivity to logs endpoint         │ Success │ logs.us-east-2.amazonaws.com is reachable                           │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ Connectivity to monitoring endpoint   │ Success │ monitoring.us-east-2.amazonaws.com is reachable                     │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ AWS Credentials                       │ Success │ Credentials are for                                                 │
│                                       │         │  arn:aws:sts::123456789012:assumed-role/SSM-Role/i-123abc45EXAMPLE  │
│                                       │         │  and will expire at 2021-09-02 13:24:42 +0000 UTC                   │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ Agent service                         │ Success │ Agent service is running and is running as expected user            │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ Proxy configuration                   │ Skipped │ No proxy configuration detected                                     │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ Windows sysprep image state           │ Success │ Windows image state value is at desired value IMAGE_STATE_COMPLETE  │
├───────────────────────────────────────┼─────────┼─────────────────────────────────────────────────────────────────────┤
│ SSM Agent version                     │ Success │ SSM Agent version is 3.2.815.0, latest agent version in us-east-2   │
│                                       │         │ is 3.2.985.0                                                        │
└───────────────────────────────────────┴─────────┴─────────────────────────────────────────────────────────────────────┘

Tabel berikut memberikan rincian tambahan untuk setiap pemeriksaan yang dilakukan olehssm-cli.

ssm-clipemeriksaan diagnostik
Periksa Detail
Layanan EC2 metadata instans Amazon Menunjukkan apakah node terkelola dapat mencapai layanan metadata. Tes yang gagal menunjukkan masalah konektivitas http://169.254.169.254 yang dapat disebabkan oleh konfigurasi firewall dan proxy rute lokal, proxy, atau sistem operasi (OS).
Pendaftaran instance hybrid Menunjukkan SSM Agent apakah terdaftar menggunakan aktivasi hibrida.
Konektivitas ke ssm titik akhir Menunjukkan apakah node dapat mencapai titik akhir layanan untuk Systems Manager pada TCP port 443. Tes yang gagal menunjukkan masalah konektivitas https://ssm.region.amazonaws.com tergantung pada Wilayah AWS tempat node berada. Masalah konektivitas dapat disebabkan oleh VPC konfigurasi termasuk grup keamanan, daftar kontrol akses jaringan, tabel rute, atau firewall dan proxy OS.
Konektivitas ke ec2messages titik akhir Menunjukkan apakah node dapat mencapai titik akhir layanan untuk Systems Manager pada TCP port 443. Tes yang gagal menunjukkan masalah konektivitas https://ec2messages.region.amazonaws.com tergantung pada Wilayah AWS tempat node berada. Masalah konektivitas dapat disebabkan oleh VPC konfigurasi termasuk grup keamanan, daftar kontrol akses jaringan, tabel rute, atau firewall dan proxy OS.
Konektivitas ke ssmmessages titik akhir Menunjukkan apakah node dapat mencapai titik akhir layanan untuk Systems Manager pada TCP port 443. Tes yang gagal menunjukkan masalah konektivitas https://ssmmessages.region.amazonaws.com tergantung pada Wilayah AWS tempat node berada. Masalah konektivitas dapat disebabkan oleh VPC konfigurasi termasuk grup keamanan, daftar kontrol akses jaringan, tabel rute, atau firewall dan proxy OS.
Konektivitas ke s3 titik akhir Menunjukkan apakah node dapat mencapai titik akhir layanan untuk Amazon Simple Storage Service pada TCP port 443. Tes yang gagal menunjukkan masalah konektivitas https://s3.region.amazonaws.com tergantung pada Wilayah AWS tempat node berada. Konektivitas ke titik akhir ini tidak diperlukan agar node muncul di daftar node terkelola Anda.
Konektivitas ke kms titik akhir

Menunjukkan apakah node dapat mencapai titik akhir layanan untuk AWS Key Management Service pada TCP port 443. Tes yang gagal menunjukkan masalah konektivitas https://kms.region.amazonaws.com tergantung pada Wilayah AWS tempat node berada. Konektivitas ke titik akhir ini tidak diperlukan agar node muncul di daftar node terkelola Anda.
Konektivitas ke logs titik akhir Menunjukkan apakah node dapat mencapai titik akhir layanan untuk Amazon CloudWatch Logs pada TCP port 443. Tes yang gagal menunjukkan masalah konektivitas https://logs.region.amazonaws.com tergantung pada Wilayah AWS tempat node berada. Konektivitas ke titik akhir ini tidak diperlukan agar node muncul di daftar node terkelola Anda.
Konektivitas ke monitoring titik akhir Menunjukkan apakah node dapat mencapai titik akhir layanan untuk Amazon CloudWatch pada TCP port 443. Tes yang gagal menunjukkan masalah konektivitas https://monitoring.region.amazonaws.com tergantung pada Wilayah AWS tempat node berada. Konektivitas ke titik akhir ini tidak diperlukan agar node muncul di daftar node terkelola Anda.
AWS Kredensil Menunjukkan apakah SSM Agent memiliki kredensional yang diperlukan berdasarkan profil IAM instance (untuk EC2 instance) atau peran IAM layanan (untuk EC2 non-mesin) yang terpasang ke mesin. Pengujian yang gagal menunjukkan bahwa tidak ada profil IAM instans atau peran IAM layanan yang dilampirkan ke mesin, atau tidak berisi izin yang diperlukan untuk Systems Manager.
Layanan agen Menunjukkan apakah SSM Agent layanan sedang berjalan, dan apakah layanan berjalan sebagai root untuk Linux ataumacOS, atau SYSTEM untukWindows Server. Tes yang gagal menunjukkan SSM Agent layanan tidak berjalan atau tidak berjalan sebagai root atauSYSTEM.
Konfigurasi proxy Menunjukkan SSM Agent apakah dikonfigurasi untuk menggunakan proxy.
Status gambar Sysprep (hanya Windows) Menunjukkan keadaan Sysprep pada node. SSM Agenttidak akan dimulai pada node jika Sysprep status adalah nilai selainIMAGE_STATE_COMPLETE.
Versi SSM Agent Menunjukkan apakah versi terbaru yang SSM Agent tersedia diinstal.