トラブルシューティング:Amazon MWAA 環境の作成と更新　

パッケージのバージョンを確認します。requirements.txt 内の Python 依存関係には、常に特定のバージョン (==) または最上位バージョン (<=) を指定することをお勧めします。

Apache Airflow のログを確認してください。Apache Airflow ログを有効にした場合は、CloudWatch コンソールの ロググループ ページでロググループが正常に作成されたことを確認します。空のログが表示される場合、最も一般的な理由は、ログが書き込まれる CloudWatch または Amazon S3 の実行ロールにアクセス権限がないことが原因です。詳細については、「実行ロール」を参照してください。

Apache Airflow 構成オプションを確認してください。Secrets Manager を使用している場合は、Apache Airflow 構成オプションとして指定したキーと値のペアが正しく設定されていることを確認してください。詳細については、「Apache Airflow 接続を秘密 AWS Secrets Manager を使用して構成する」を参照してください。

VPCのネットワーク構成を確認します。詳細については、「環境を作成しようとしましたが、「作成中」の状態のままです。」を参照してください。

実行ロールの権限を確認します。実行ロールは、AWS ユーザーに代わって他のサービス AWS Identity and Access Management (Amazon S3、CloudWatch、Amazon SQS、Amazon ECR など) のリソースを呼び出すアクセス権限を Amazon MWAA に付与するアクセス権限ポリシーを持つ (IAM) ロールです。顧客管理キー または AWS 所有キー にもアクセスを許可する必要があります。詳細については、「実行ロール」を参照してください。

Amazon MWAA 環境の Amazon VPC ネットワークのセットアップと設定を確認するトラブルシューティングスクリプトを実行するには、GitHub AWS Support ツールにある 環境の検証 スクリプトを参照してください。

手順に従って JSON ポリシーを実行ロールに追加します。

以下の JSON ポリシーを添付する：

{
   "Effect":"Allow",
   "Action":[
      "s3:GetObject*",
      "s3:GetBucket*",
      "s3:List*"
   ],
   "Resource":[
      "arn:aws:s3:::YOUR_S3_BUCKET_NAME",
      "arn:aws:s3:::YOUR_S3_BUCKET_NAME/*"
   ]
}

YOUR_S3_BUCKET_NAME のサンプルプレースホルダーを、my-mwaa-unique-s3-bucket-name などの Amazon S3 バケット名に置き換えてください。

Amazon MWAA 環境の Amazon VPC ネットワークのセットアップと設定を確認するトラブルシューティングスクリプトを実行するには、GitHub AWS Support ツールにある 環境の検証 スクリプトを参照してください。

VPC ネットワークをパブリックルーティングで確認してください。インターネットにアクセスできる Amazon VPC を使用している場合は、以下を確認してください。

1. Amazon VPCは、 AWS で定義されているように、Amazon MWAA 環境で使用される異なる Amazon MWAA でのネットワーキングについて リソース間のネットワークトラフィックを許可するように構成されています。例えば、VPC セキュリティグループは、自己参照ルールですべてのトラフィックを許可するか、オプションで HTTPS ポート範囲 443 と TCP ポート範囲 5432 のポート範囲を指定する必要があります。

プライベートルーティングで VPC ネットワークを確認します。インターネットにアクセスせずに Amazon VPC を使用している場合は、以下を確認してください。

1. Amazon VPC が、Amazon MWAA でのネットワーキングについて で定義されているように、Amazon MWAA 環境の異なる AWS リソース間のネットワーク・トラフィックを許可するように構成されています。たとえば、2 つのプライベートサブネットには NAT ゲートウェイ (または NAT インスタンス) へのルートテーブルやインターネットゲートウェイを持つことはできません。

Amazon MWAA 環境の Amazon VPC ネットワークのセットアップと設定を確認するトラブルシューティングスクリプトを実行するには、GitHub AWS Support ツールにある 環境の検証 スクリプトを参照してください。

VPCのネットワーク構成を確認します。詳細については、「環境を作成しようとしましたが、「作成中」の状態のままです。」を参照してください。

ユーザー権限を確認してください。Amazon MWAA は、環境を作成する前に、ユーザーの認証情報に対してドライランを実行します。お客様の AWS アカウントには、環境用のリソースの一部を作成する権限が AWS Identity and Access Management (IAM) にない場合があります。たとえば、プライベートネットワークの Apache Airflow アクセスモードを選択した場合、AWS アカウントに VPC エンドポイントの作成を許可する環境の AmazonMWAAFullConsoleAccess アクセスコントロールポリシーへのアクセス権限が管理者から付与されている必要があります。

実行ロールの権限を確認します。実行ロールは、AWS ユーザーに代わって他のサービス AWS Identity and Access Management (Amazon S3、CloudWatch、Amazon SQS、Amazon ECR など) のリソースを呼び出すアクセス権限を Amazon MWAA に付与するアクセス権限ポリシーを持つ (IAM) ロールです。顧客管理キー または AWS 所有キー にもアクセスを許可する必要があります。詳細については、「実行ロール」を参照してください。

Apache Airflow のログを確認してください。Apache Airflow ログを有効にした場合は、CloudWatch コンソールの ロググループ ページでロググループが正常に作成されたことを確認します。空のログが表示される場合、最も一般的な理由は、ログが書き込まれる CloudWatch または Amazon S3 の実行ロールにアクセス権限がないことが原因です。詳細については、「実行ロール」を参照してください。

Amazon MWAA 環境の Amazon VPC ネットワークのセットアップと設定を確認するトラブルシューティングスクリプトを実行するには、GitHub AWS Support ツールにある 環境の検証 スクリプトを参照してください。

インターネットにアクセスせずに Amazon VPC を使用している場合は、Amazon S3 ゲートウェイエンドポイントを作成し、Amazon S3 にアクセスするために必要最小限のアクセス権限を Amazon ECR に付与していることを確認してください。Amazon S3 ゲートウェイエンドポイントの作成についての詳細は、以下を参照してください。

VPC セキュリティグループの設定を確認する。詳細については、「環境を作成しようとしましたが、「作成中」の状態のままです。」を参照してください。

リストアップされている Apache Airflow パッケージが、Amazon MWAA で実行している Apache Airflow requirements.txt バージョンに対応していることを確認してください。詳細については、「Python 依存関係のインストール」を参照してください。

Amazon MWAA 環境の Amazon VPC ネットワークのセットアップと設定を確認するトラブルシューティングスクリプトを実行するには、GitHub AWS Support ツールにある 環境の検証 スクリプトを参照してください。

GitHub の aws-mwaa-local-runner を使用して、DAG、カスタムプラグイン、Python の依存関係をローカルでテストします。

Amazon MWAA 環境の Amazon VPC ネットワークのセットアップと設定を確認するトラブルシューティングスクリプトを実行するには、GitHub AWS Support ツールにある 環境の検証 スクリプトを参照してください。

ユーザー権限を確認してください。Apache Airflow UI を表示できるアクセス権ポリシーの権限が与えられていない可能性があります。詳細については、「Amazon MWAA 環境へのアクセス」を参照してください。

ネットワークアクセスを確認してください。[プライベートネットワーク] アクセスモードを選択したことが原因と考えられます。Apache Airflow UI の URL が以下の形式の 387fbcn-8dh4-9hfj-0dnd-834jhdfb-vpce.c10.us-west-2.airflow.amazonaws.com である場合、これは Apache Airflow ウェブサーバー用にプライベートルートを使用していることを意味します。Apache Airflow アクセスモードをパブリックネットワークアクセスモードに更新するか、Apache Airflow ウェブサーバーの VPC エンドポイントにアクセスするメカニズムを作成できます。詳細については、「Amazon MWAA でのサービス固有の Amazon VPC エンドポイントへのアクセスの管理」を参照してください。