Amazon EC2 Linux インスタンスへの接続に関する問題のトラブルシューティング

1. Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。

2. ナビゲーションペインで [インスタンス] を選択し、インスタンスを選択します。

3. コンソールページの下部にある [セキュリティ] タブの [インバウンドルール] で、選択したインスタンスで有効なルールのリストを確認します。ローカルコンピュータからポート 22 (SSH) へのトラフィックを許可するルールがあることを確認します。

   セキュリティグループに、ローカルコンピュータからのインバウンドトラフィックを許可するルールがない場合は、セキュリティグループにルールを追加します。詳細については、「コンピュータからのインスタンスへの接続ルール」を参照してください。

4. インバウンドトラフィックを許可するルールについては、[Source] (ソース) フィールドを確認します。値が単一の IP アドレスで、IP アドレスが静的でない場合、コンピュータを再起動するたびに新しい IP アドレスが割り当てられます。これにより、ルールにはコンピュータの IP アドレストラフィックが含まれなくなります。コンピュータが企業ネットワークにある場合またはインターネットサービスプロバイダー (ISP) を通じて接続する場合は、コンピュータの IP アドレスが静的ではない可能性があります。つまり、コンピュータの IP アドレスは動的で、コンピュータを再起動するたびに変化します。セキュリティグループルールで、ローカルコンピュータからのインバウンドトラフィックが許可されるようにするには、[Source] (ソース) に単一の IP アドレスを指定するのではなく、クライアントコンピュータで使用されている IP アドレスの範囲を指定します。

   セキュリティグループのルールの詳細については、Amazon VPCユーザーガイドの「セキュリティグループのルール」を参照してください。

1. Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。

2. ナビゲーションペインで [インスタンス] を選択し、インスタンスを選択します。

3. [ネットワーキング] タブで、VPC ID とサブネット ID の値を書き留めます。

4. Amazon VPC コンソール (https://console.aws.amazon.com/vpc/) を開きます。

5. ナビゲーションペインで、[Internet Gateways] を選択します。ご使用の VPC にアタッチされているインターネットゲートウェイがあることを確認します。または、[インターネットゲートウェイの作成] を選択し、インターネットゲートウェイの名前を入力して [インターネットゲートウェイの作成] を選択します。次に、作成したインターネットゲートウェイで、[アクション]、[VPC にアタッチ]、[VPC] の順に選択し、[インターネットゲートウェイのアタッチ] をクリックして VPC にアタッチします。

6. ナビゲーションペインで [Subnets] を選択し、サブネットを選択します。

7. [ルートテーブル] タブで、送信先として 0.0.0.0/0、ターゲットとして VPC のインターネットゲートウェイが指定されたルートがあることを確認します。IPv6 アドレスを使用してインスタンスに接続する場合は、インターネットゲートウェイを指しているすべての IPv6 トラフィック (::/0) 用のルートがあることを確認します。それ以外の場合は、以下の作業を行います。

   1. ルートテーブルの ID (rtb-xxxxxxxx) を選択して、ルートテーブルに移動します。

   2. [Routes] タブで、[Edit routes] を選択します。[Add route] を選択して、0.0.0.0/0 を送信先として追加し、インターネットゲートウェイをターゲットとして使用します。IPv6 の場合は、[Add route] を選択して、::/0 を送信先として追加し、インターネットゲートウェイをターゲットとして使用します。

   3. [Save routes] を選択します。

サブネットのネットワークアクセスコントロールリスト (ACL) を確認します。

ネットワーク ACL がポート 22 でローカル IP アドレスからのインバウンド SSH トラフィックを許可している必要があります。また、一時ポート (1024-65535) へのアウトバウンドトラフィックも許可する必要があります。

1. Amazon VPC コンソール (https://console.aws.amazon.com/vpc/) を開きます。

2. ナビゲーションペインで、[Subnets (サブネット)] を選択します。

3. サブネットを選択する

4. [ネットワーク ACL] タブの [インバウンドルール] で、必要なポートでコンピュータからのインバウンドトラフィックを許可しているルールがあることを確認します。それが見つからない場合は、コンピュータへのトラフィックをブロックしているルールを削除または変更します。

5. [アウトバウンドルール] で、一時ポートでコンピュータへのトラフィックを許可しているルールがあることを確認します。存在しない場合は、コンピュータへのトラフィックをブロックしているルールを削除または変更します。

プライベートキーファイルが正しく設定されていない場合は、以下の手順に従ってエラーを解決する

1. 新しいキーペアを作成します。詳細については、「Amazon EC2 を使用してキーペアを作成する」を参照してください。

   注記

   サードパーティー製のツールを使用して、新しいキーペアを作成することもできます。詳細については、「サードパーティー製のツールを使用してキーペアを作成し、Amazon EC2 にパブリックキーをインポートする」を参照してください。

2. 新しいキーペアをインスタンスに追加します。詳細については、「プライベートキーを紛失しました。自分のインスタンスに接続するにはどうすればよいですか?」を参照してください。

3. 新しいキーペアを使用してインスタンスに接続します。

1. Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。

2. ナビゲーションペインで [インスタンス] を選択し、インスタンスを選択します。

3. [詳細] タブの [インスタンスの詳細] で、[キーペア名] の値を確認します。

4. インスタンスを起動したときにキーペアを指定しなかった場合は、キーペアを確実に指定するために、インスタンスを終了してから新しいインスタンスを起動します。それまで使用していたインスタンスで、キーペアに対する .pem ファイルがもう存在しない場合は、そのキーペアを新しいキーペアで置き換えることができます。詳細については、「プライベートキーを紛失しました。自分のインスタンスに接続するにはどうすればよいですか?」を参照してください。

インスタンスのアクセス権限を検証するには

1. インスタンスを停止し、ルートボリュームをデタッチします。詳細については、「Amazon EC2 インスタンスの停止と起動」を参照してください。

2. 同じアベイラビリティーゾーンにある一時インスタンスを現在のインスタンスとして起動し (現在のインスタンスに使用したのと同様または同じ AMI を使用)、ルートボリュームを一時インスタンスにアタッチします。

3. 一時インスタンスに接続してマウントポイントを作成し、アタッチしたボリュームをマウントします。

4. 一時インスタンスから、アタッチされたボリュームの /home/instance-user-name/ ディレクトリのアクセス権限をチェックします。必要に応じて、次のようにアクセス権限を調整します。

   [ec2-user ~]$ chmod 600 mount_point/home/instance-user-name/.ssh/authorized_keys

   [ec2-user ~]$ chmod 700 mount_point/home/instance-user-name/.ssh

   [ec2-user ~]$ chmod 700 mount_point/home/instance-user-name

5. ボリュームをアンマウントして一時インスタンスからデタッチし、元のインスタンスに再アタッチします。ルートボリュームに適切なデバイス名を指定したことを確認します (/dev/xvda など)。

6. インスタンスを起動します。一時インスタンスが必要なくなった場合は、終了できます。

1. .pem ファイルに移動します。

2. .pem ファイルを右クリックし、[プロパティ] を選択します。

3. [セキュリティ] タブを選択します。

4. [詳細] を選択します。

5. 自分がファイルの所有者であることを確認します。そうでない場合は、所有者を自分のユーザー名に変更します。

6. [継承の無効化] および [このオブジェクトから継承されたすべてのアクセス許可を削除] を選択します。

7. [追加]、[プリンシパルの選択] を選択し、ユーザー名を入力して、[OK] をクリックします。

8. [許可エントリ] ウィンドウから、読み取りアクセス許可を付与して、[OK] をクリックします。

9. [Apply] (適用) をクリックして、すべての設定が保存されているようにします。

10. [OK] をクリックして、[セキュリティの詳細設定] ウィンドウを閉じます。

11. [OK] をクリックして、[プロパティ] ウィンドウを閉じます。

12. Windows から SSH を使用して Linux インスタンスに接続できるはずです。

1. コマンドプロンプトから、.pem ファイルのファイルパスの場所に移動します。

2. 明示的なアクセス許可をリセットおよび削除するには、次のコマンドを実行します。

   icacls.exe $path /reset

3. 現在のユーザーに読み取りアクセス許可を付与するには、次のコマンドを実行します。

   icacls.exe $path /GRANT:R "$($env:USERNAME):(R)"

4. 継承を無効にし、継承されたアクセス許可を削除するには、次のコマンドを実行します。

   icacls.exe $path /inheritance:r

5. Windows から SSH を使用して Linux インスタンスに接続できるはずです。

1. EC2 Instance Connect 以外の方法でインスタンスに接続します。

2. インスタンス上で次のコマンドを実行してec2-instance-connectパッケージを最新バージョンにアップデートします。

   apt update && apt upgrade

元のインスタンスに関する情報を取得するには

1. Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。

2. ナビゲーションペインで [Instances] を選択し、接続先にするインスタンスを選択します (このインスタンスを元のインスタンスと呼びます)。

3. [Details] タブで、インスタンス ID と AMI ID を書き留めます。

4. [ネットワーキング] タブで、アベイラビリティーゾーンを書き留めます。

5. [Storage] タブの [Root device name] で、ルートボリュームのデバイス名 (/dev/xvda など) を書き留めます。次に、[Block devices] で、このデバイス名を見つけ、ボリューム ID (vol-0a1234b5678c910de など) を書き留めます。

一時インスタンスを起動するには

1. ナビゲーションペインで [Instances] (インスタンス)、[Launch instances] (インスタンスの起動) の順に選択します。

2. [Name and tags] (名前とタグ) セクションの [Name] (名前) に「Temporary (一時)」と入力します。

3. [Application and OS Images] (アプリケーションと OS イメージ) セクションで、元のインスタンスの起動に使用したものと同じ AMI を選択します。その AMI を使用できない場合は、停止したインスタンスから使用可能な AMI を作成できます。詳細については、「Amazon EBS-backed AMI を作成する」を参照してください。

4. [Instance type] (インスタンスタイプ) セクションでは、デフォルトのインスタンスタイプを保持します。

5. [Key pair] (キーペア) セクションの [Key pair name] (キーペア名) で、使用する既存のキーペアを選択するか、新しいキーペアを作成します。

6. [ネットワーク設定] セクションで [編集] を選択し、次に [サブネット] で、元のインスタンスと同じアベイラビリティーゾーンのサブネットを選択します。

7. [Summary] (サマリー) パネルで、[Launch] (起動) を選択します。

1. ナビゲーションペインで [Volumes] を選択し、元のインスタンスのルートデバイスボリュームを選択します (前のステップでそのボリューム ID を書き留めました)。[Actions] (アクション)、[Detach Volume] (ボリュームのデタッチ)、[Detach] (デタッチする) の順に選択します。ボリュームの状態が available になるまで待ちます ([Refresh] アイコンを選択しなければならない場合があります)。

2. ボリュームを選択したまま [Actions] (アクション) を選択し、次に [Attach Volume] (ボリュームをアタッチ) を選択します。一時インスタンスのインスタンス ID を選択し、[Device name] (デバイス名) で指定されたデバイス名 (例: /dev/sdf) を書き留めて、[Attach volume] (ボリュームをアタッチ) を選択します。

   注記

   元のインスタンスを AWS Marketplace AMI から起動して、ボリュームに AWS Marketplace のコードが含まれている場合は、ボリュームをアタッチする前に一時インスタンスを停止する必要があります。

1. 一時インスタンスに接続します。

2. 一時インスタンスから、そのファイルシステムにアクセスできるように、インスタンスにアタッチしたボリュームをマウントします。例えば、デバイス名が /dev/sdf の場合、次のコマンドを使用してボリュームを /mnt/tempvol としてマウントします。

   注記

   デバイス名の表示がインスタンスでは異なる場合があります。例えば、/dev/sdf としてマウントされているデバイスが、インスタンスでは /dev/xvdf として表示される場合があります。Red Hat の一部のバージョン (または CentOS などのバリアント) では、さらに末尾の文字が 4 文字インクリメントされる場合があります。例えば、/dev/sdf は /dev/xvdk になります。

   1. lsblkコマンドを使用して、ボリュームがパーティション分割されているかどうかを判断します。

      [ec2-user ~]$ lsblk
      NAME    MAJ:MIN RM  SIZE RO TYPE MOUNTPOINT
      xvda    202:0    0    8G  0 disk
      └─xvda1 202:1    0    8G  0 part /
      xvdf    202:80   0  101G  0 disk
      └─xvdf1 202:81   0  101G  0 part
      xvdg    202:96   0   30G  0 disk

      前述の例では、/dev/xvda と /dev/xvdf は、パーティション分割されたボリュームで、/dev/xvdg はパーティション分割されていません。ボリュームがパーティション分割されている場合は、次のステップで raw デバイス (/dev/xvdf1)) の代わりにパーティション(/dev/xvdf) をマウントします。

   2. ボリュームをマウントするための一時ディレクトリを作成します。

      [ec2-user ~]$ sudo mkdir /mnt/tempvol

   3. 以前に特定したデバイス名またはボリューム名を使用して、一時マウントポイントにボリューム (またはパーティション) をマウントします。必要なコマンドは、オペレーティングシステムのファイルシステムによって異なります。注意事項デバイス名の表示がインスタンスでは異なる場合があります。詳細については、ステップ 6 の「note」を参照してください。

      • Amazon Linux、Ubuntu、Debian

        [ec2-user ~]$ sudo mount /dev/xvdf1 /mnt/tempvol

      • Amazon Linux 2、CentOS、SUSE Linux 12、RHEL 7.x

        [ec2-user ~]$ sudo mount -o nouuid /dev/xvdf1 /mnt/tempvol

   注記

   ファイルシステムが破損していることを示すエラーが表示された場合は、次のコマンドを実行して fsck ユーティリティを使用してファイルシステムをチェックし、問題を修復します。

   [ec2-user ~]$ sudo fsck /dev/xvdf1

3. 一時インスタンスから、次のコマンドを使用して、一時インスタンスの authorized_keys からの新しいパブリックキーを使用し、マウントされたボリューム上で authorized_keys を更新します。

   重要

   以下の例では、Amazon Linux のユーザー名 ec2-user を使用しています。別のユーザー名に置き換える必要がある (Ubuntu インスタンスの場合は ubuntu など) 場合があります。

   [ec2-user ~]$ cp .ssh/authorized_keys /mnt/tempvol/home/ec2-user/.ssh/authorized_keys

   このコピーが正常に終了すると、次のステップに進むことができます。

   (オプション) または、/mnt/tempvol のファイルを編集するアクセス許可がない場合、sudo を使用してファイルを更新してから、ファイルに対するアクセス許可を確認して、元のインスタンスにログインできるかどうかを確認する必要があります。次のコマンドを使用して、ファイルに対するアクセス許可を確認します。

   [ec2-user ~]$ sudo ls -l /mnt/tempvol/home/ec2-user/.ssh
   total 4
   -rw------- 1 222 500 398 Sep 13 22:54 authorized_keys

   この出力例では、222 はユーザー ID、500 はグループ ID です。次に、sudo を使用して失敗したコピーコマンドを再実行します。

   [ec2-user ~]$ sudo cp .ssh/authorized_keys /mnt/tempvol/home/ec2-user/.ssh/authorized_keys

   次のコマンドを再度実行して、アクセス許可が変更されているかどうかを判断します。

   [ec2-user ~]$ sudo ls -l /mnt/tempvol/home/ec2-user/.ssh

   ユーザー ID とグループ ID が変更されている場合は、次のコマンドを実行して復元します。

   [ec2-user ~]$ sudo chown 222:500 /mnt/tempvol/home/ec2-user/.ssh/authorized_keys

1. 一時インスタンスから、元のインスタンスに再アタッチできるように、アタッチしたボリュームをアンマウントします。例えば、/mnt/tempvol のボリュームをアンマウントするには、次のコマンドを使用します。

   [ec2-user ~]$ sudo umount /mnt/tempvol

2. (前のステップでアンマウントした) 一時インスタンスからボリュームをデタッチする: Amazon EC2 コンソールのナビゲーションペインで [Volumes] (ボリューム) を選択し、(前のステップでボリューム ID を書き留めた) 元のインスタンスのルートデバイスボリュームを選択し、[Actions] (アクション)、[Detach Volume] (ボリュームのデタッチ) の順に選択します。次に、[Detach] (デタッチ) を選択します。ボリュームの状態が available になるまで待ちます ([Refresh] アイコンを選択しなければならない場合があります)。

3. ボリュームを元のインスタンスに再アタッチする: ボリュームを選択した状態で、[Action] (アクション)、[Attach Volume] (ボリュームをアタッチ) の順に選択します。元のインスタンスのインスタンス ID を選択し、元のルートデバイスのアタッチメントについて先程の ステップ 2 で記録したデバイス名 (/dev/sda1 または /dev/xvda) を指定してから、[Attach Volume] (ボリュームをアタッチ) を選択します。

   重要

   元のアタッチと同じデバイス名を指定しない場合、元のインスタンスを起動することはできません。Amazon EC2 は、ルートデバイスボリュームが sda1 または /dev/xvda であることを想定しています。