应用程序状态检查

应用程序状态检查可帮助您监控 Amazon EC2 上运行的应用程序的性能和运行状况。通过应用程序状态检查，您可以通过可配置的路径和端口监控应用程序，从而检测并响应应用程序运行状况损坏。例如，您可以使用应用程序状态检查来确认 Web 服务器是否正在侦听其预期端口并接受新的连接。

应用程序状态检查会监控应用程序在可配置路径和端口上的 HTTP 和 HTTPS 响应。它们每 60 秒运行一次，并与 Amazon EC2 Auto Scaling 集成，因此您可以自动替换应用程序受损的实例。

应用程序状态检查如何工作

应用程序状态检查每 60 秒向侦听实例网络端口的端点发送 HTTP 或 HTTPS 请求。AWS 会将响应代码与您配置的状态代码匹配器进行比较。连续多次请求失败后，检查将被标记为受损；连续多次请求成功后，检查将再次标记为运行正常。这两个计数均默认为 2，并且可配置。有关更多信息，请参阅 评估阈值。

重启期间，应用程序状态检查会报告失败，直到实例再次可用为止，因为在操作系统重启期间，应用程序无法响应运行状况检查请求。

网络架构

应用程序状态检查源自 Amazon EC2 应用程序状态检查服务。为了访问您的实例，AWS 会在您的 VPC 中创建一个托管弹性网络接口（ENI）。AWS 会为每个具有关联实例的源子网和安全组组合创建一个 ENI。当应用程序状态检查首次需要该组合时，AWS 会创建托管 ENI，当没有应用程序状态检查需要该组合时将其移除。托管的 ENI 不计入您的实例 ENI 限制，但会计入您账户的每个区域的网络接口数配额，该配额按可用区强制执行。有关更多信息，请参阅 Amazon VPC 配额。

默认情况下，对于在此设置可用之前没有托管资源的账户，Amazon EC2 会将这些托管网络接口从控制台和 API 列表操作中隐藏。要更改其可见性，请参阅托管资源可见性设置。

AWS 会为关联实例中每个源子网和安全组的组合创建一个托管网络接口。托管接口的数量会随着受监控实例使用的不同子网和安全组组合的数量而增长。将受监控实例整合到更少的子网和安全组组合中可减少托管接口的数量。例如，分布在 2 个子网中且使用同一个安全组的 200 个实例会产生 2 个受管接口。同样是这 200 个实例，如果分布在这 2 个子网中使用 3 个安全组，则最多会产生 6 个受管接口。每个接口对应一个子网和安全组组合。

应用程序状态检查会从 VPC 内的私有接入点访问实例。此范围描述的是检查的来源，而非实例 IP 地址的属性。AWS 会在您 VPC 内的子网中创建托管 ENI，并通过私有网络路径访问实例。

使用 AWS 托管网络路径时，运行状况检查流量源自与目标实例位于同一可用区（或本地区域目标的父可用区）的 AWS 托管 Amazon EC2 实例。流量通过 AWS 内部网络传输，不会经过公共互联网。有关更多信息，请参阅亚马逊云科技服务网站上的 Amazon VPC 常见问题解答。

通过客户管理的网络路径，您可以选择源子网，从而可以从与目标不同的可用区运行检查。有关更多信息，请参阅 跨可用区监控。

AWS 管理的网络路径和客户管理的网络路径

应用程序状态检查支持两种载入模式，分别决定谁为运行状况检查 ENI 选择源子网和安全组，以及为目标实例选择目标子网和安全组。

可以通过在 create 命令中包含或省略 --health-check-paths 参数来选择模式。如果省略 --health-check-paths 参数，则 AWS 会选择源子网和目标子网以及安全组（AWS 管理的网络路径）。如果包含 --health-check-paths 参数，则您负责管理它们（客户管理的网络路径）。

IP 版本

每个应用程序状态检查都与单个 IP 版本（IPv4 或 IPv6）关联。要同时通过 IPv4 和 IPv6 监控同一实例，请创建两个独立的应用程序状态检查，并将这两个检查都与该实例关联。

对于 IPv4 和 IPv6，检查均从 VPC 内到达实例。

检查状态值

每个单独的检查报告以下状态之一：

针对该实例报告的总体应用程序状态汇总了所有单独的检查结果。总体状态为以下几种之一：

聚合

您可以将每个应用程序状态检查标记为包含在实例的总体状态中，或从总体状态中排除。默认情况下，检查状态为 included。

开始使用应用程序状态检查

先决条件

创建应用程序状态检查之前，请确保您已具备以下各项：

步骤 1：配置 应用程序

配置应用程序端点，使其响应您在创建检查时指定的端口和 HTTP 路径上的 HTTP 或 HTTPS 请求。返回包含在状态代码匹配器中的响应代码，以指示应用程序运行状况良好。

确保目标实例的安全组允许来自应用程序状态检查所用源安全组的入站流量通过检查端口。对于托管网络路径，AWS 会在创建检查时提供源安全组。对于客户管理的网络路径，您可以在创建检查时指定源安全组。

步骤 2：创建检查定义

使用 AWS CLI 创建应用程序状态检查。

Console

1. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

2. 在导航窗格中的实例下，选择应用程序状态检查。

3. 选择创建应用程序状态检查。

4. 在运行状况检查逻辑下，配置以下项：

   • 协议：选择 HTTP 或 HTTPS。

   • 端口：输入应用程序侦听的端口。

   • 路径（可选）：输入要请求的 HTTP 路径（例如 /healthcheck）。

   • IP 版本：选择 IPv4 或 IPv6。

   • 设备索引：要检查的网络接口设备索引。默认值为 0。

5. 在控制项与阈值下，设置超时，并根据需要设置状态码匹配器、失败阈值、成功阈值和初始化宽限期。检查间隔固定为 60 秒。

6. 在聚合下，选择包括以使检查影响总体应用程序状态并驱动 Amazon EC2 Auto Scaling，或选择排除以在不影响总体状态的情况下报告检查结果。

7. 在运行状况检查路径下，保留不指定网络路径（建议/默认）以让 Amazon EC2 将运行状况检查网络接口放置在实例的子网中，或者选择指定网络路径（高级）以自行定义源子网、安全组和目标。

8. （可选）添加名称标签和其他标签。

9. 选择创建应用程序状态检查。

AWS CLI

要使用 AWS 管理的网络路径，请省略 --health-check-paths 参数并允许 AWS 选择源子网和目标子网以及安全组。

aws ec2 create-application-status-check \
        --protocol https \
        --port 443 \
        --path "/health" \
        --status-code-matcher "200"

要使用客户管理的网络路径，请包含 --health-check-paths 参数。每个运行状况检查路径都包含一个源（运行状况检查 ENI 的子网和安全组）以及一个或多个目标（目标实例的子网和安全组）。

aws ec2 create-application-status-check \
        --protocol https \
        --port 443 \
        --path "/health" \
        --status-code-matcher "200" \
        --health-check-paths '[{"Source":{"SubnetId":"subnet-111","SecurityGroupId":"sg-aaa"},"Destinations":[{"SubnetId":"subnet-222","SecurityGroupId":"sg-bbb"}]}]'

步骤 3：将检查与实例关联

按实例 ID 或标签将检查与要监控的实例相关联。

Console

1. 在导航窗格中的实例下，选择应用程序状态检查，然后选择该检查。

2. 选择管理状态检查关联，然后选择按资源 ID 管理关联或按标签管理关联。

3. 要与自动扩缩组中的所有实例关联，请选择按标签管理关联，然后输入 aws:autoscaling:groupName 作为标签键，并输入您的自动扩缩组名称作为值。

4. 选择关联。

AWS CLI

按实例 ID：

aws ec2 associate-application-status-check \
        --application-status-check-id asc-1234567890abcdef0 \
        --instance-ids i-0123456789abcdef0

按标签：

aws ec2 associate-application-status-check \
        --application-status-check-id asc-1234567890abcdef0 \
        --target-tag-associations Key=Environment,Value=production

要与自动扩缩组中的所有实例关联，请使用 aws:autoscaling:groupName 系统标签：

aws ec2 associate-application-status-check \
        --application-status-check-id asc-1234567890abcdef0 \
        --target-tag-associations Key=aws:autoscaling:groupName,Value=my-asg

关联和取消关联操作会返回每个实例的成功和失败结果。如果某些实例无法关联（例如，因为检查已关联），则这些实例会出现在失败结果中，并附有原因。

步骤 4：查看结果

查看每个实例的应用程序运行状况。

Console

1. 通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

2. 在导航窗格中，选择 Instances (实例)。

3. 选择实例，然后选择状态和警报选项卡。

4. 在应用程序状态检查下，查看总体状态以及每个关联检查的单独状态。

AWS CLI

aws ec2 describe-application-status \
        --instance-ids i-0123456789abcdef0

响应包括总体应用程序状态，以及每个关联检查的检查状态，对于失败的检查，还包括应用程序返回的 HTTP 状态代码。

响应示例：

{
        "ApplicationStatuses": [
            {
                "InstanceId": "i-0123456789abcdef0",
                "ApplicationStatus": {
                    "Status": "ok",
                    "Details": [
                        {
                            "ApplicationStatusCheckId": "asc-1234567890abcdef0",
                            "Status": "passed",
                            "Reason": {
                                "Code": "ResponseCodeMatched",
                                "StatusCode": 200,
                                "Protocol": "HTTP"
                            }
                        }
                    ]
                }
            }
        ]
    }

要查看检查定义（而不是每个实例的状态），请使用 describe-application-status-checks。此命令会返回应用程序状态检查的配置，包括协议、端口、HTTP 路径和状态码匹配器设置。

配置选项

应用程序状态检查接受多个配置参数。本节介绍无法从参数名称直接推断行为的参数。有关参数和验证规则的完整列表，请参阅《Amazon EC2 API 参考》中的 CreateApplicationStatusCheck 和 AssociateApplicationStatusCheck。

评估阈值

启动宽限期

IP 范围

设备索引

聚合、IP 版本和运行状况检查路径（源子网和目标子网以及安全组）在本页前面的章节中已有介绍。

默认设置

对于 AWS 管理的网络路径，应用程序状态检查使用下面的默认值。

Amazon EC2 Auto Scaling 集成

只要聚合中包含应用程序状态检查，Amazon EC2 Auto Scaling 就会自动终止并替换总体应用程序状态报告 impaired 的实例。除了置。 除了将应用程序状态检查与组中的实例关联之外，无需对自动扩缩组进行其他配置。

Amazon EC2 Auto Scaling 使用实例的总体状态，而不是单个检查状态。标记为 excluded 的检查不会驱动 Amazon EC2 Auto Scaling 操作。处于 suppressed 状态的检查不会驱动 Amazon EC2 Auto Scaling 操作。

在检查中使用 InitializationGracePeriodSeconds 参数，以便在应用程序状态检查开始之前，允许新实例有时间启动。如果宽限期太短，新实例可能会在应用程序准备好处理流量之前被 Amazon EC2 Auto Scaling 终止和替换。

检查的 InitializationGracePeriodSeconds 设置实例启动后多长时间内检查才会开始评估应用程序。请将其设置为涵盖应用程序的启动时间，因此在应用程序仍在启动时，检查不会报告 impaired。自动扩缩组的运行状况检查宽限期是独立的。它设置实例进入服务后多长时间，Amazon EC2 Auto Scaling 会因为运行状况检查失败而终止该实例。

有关 Amazon EC2 Auto Scaling 如何使用运行状况检查的更多信息，请参阅《Amazon EC2 Auto Scaling 用户指南》中的 Health checks for instances in an Auto Scaling group 和 Use application status checks with an Auto Scaling group。

处理部署、就地修补和替换

部署、就地修补和其他维护操作可能会暂时停止或重启您的应用程序。在此期间，应用程序状态检查会报告失败，因为应用程序无法响应运行状况检查请求。如果实例位于聚合中包含应用程序状态检查的自动扩缩组中，则即使预期会出现中断，Amazon EC2 Auto Scaling 也可能会终止并替换这些实例。

选项 A：抑制检查

对于已知持续时间的有限维护时段，请使用抑制功能。抑制在实例级别强制执行。您可以指定持续时间，或者省略持续时间以抑制检查，直到您禁用抑制功能为止。

AWS CLI

aws ec2 enable-application-status-check-suppression \
        --instance-ids i-0123456789abcdef0 \
        --duration-seconds 3600

响应会针对每个实例返回抑制开始时间和结束时间。操作可能部分成功；某些实例可能无法被抑制，并且在响应中出现并附有原因。

要在抑制时段到期之前恢复检查，请执行下面的操作：

aws ec2 disable-application-status-check-suppression \
        --instance-ids i-0123456789abcdef0

实例被抑制期间，其总体应用程序状态会报告 suppressed。Amazon EC2 Auto Scaling 不会对 suppressed 实例执行任何操作。

选项 B：从聚合中排除检查

如果希望检查继续评估并报告其各自的状态，但不影响总体状态或触发 Amazon EC2 Auto Scaling 操作，请将检查的聚合设置设为 excluded。这对于持续时间较长的场景非常有用，例如推出新的检查版本或在不冒替换风险的情况下验证更改，以及在不影响运营的情况下继续进行遥测的情况。

有关更多信息，请参阅 聚合。

选项 C：取消关联检查

对于持续时间较长或无限期的移除，请使用取消关联。

aws ec2 disassociate-application-status-check \
        --application-status-check-id asc-1234567890abcdef0 \
        --instance-ids i-0123456789abcdef0

如果按标签关联，请从实例中移除标签以取消关联。取消关联后，实例的总体应用程序状态将报告 not-applicable。

部署指导

部署是需要抑制的最常见维护场景。如果部署工具具有部署前钩子和部署后钩子，请使用抑制功能，以便在部署开始之前抑制检查，并在部署完成后禁用抑制功能。

一般模式是：

如果部署工具没有钩子，请从调用部署的 CI/CD 管线驱动抑制。

测试新的应用程序状态检查

在新的应用程序状态检查开始影响实例级监控之前，您可以在生产环境中对其进行验证。创建检查时，请将聚合设置设为 excluded，然后确认其报告预期状态和 HTTP 响应代码。准备就绪后，请将设置更改为 included，使检查影响实例的总体状态并与 Amazon EC2 Auto Scaling 集成。

高级联网

应用程序状态检查源自您指定的（或 AWS 为您选择的）源子网和安全组中的托管 ENI。对于需要比单源配置更高可用性的工作负载，或者在本地区域或 Outposts 中运行的工作负载，请考虑以下模式。

跨可用区监控

为了实现可用区冗余，您可以从多个可用区运行运行状况检查。借助客户管理的网络路径，您可以使用 --health-check-paths 参数定义运行状况检查路径，这些路径的源位于两个不同的可用区，但最终到达相同的目标实例。即使一个可用区不可用，来自两个可用区的监控也能确保实例的运行状况报告持续进行。

以下示例创建了一个检查，其中包含两条运行状况检查路径，这两条路径的源位于不同的可用区，但都到达相同的目标实例。

aws ec2 create-application-status-check \
        --protocol https \
        --port 443 \
        --path "/health" \
        --status-code-matcher "200" \
        --health-check-paths '[{"Source":{"SubnetId":"subnet-source-az1","SecurityGroupId":"sg-healthcheck"},"Destinations":[{"SubnetId":"subnet-app-az1","SecurityGroupId":"sg-app"}]},{"Source":{"SubnetId":"subnet-source-az2","SecurityGroupId":"sg-healthcheck"},"Destinations":[{"SubnetId":"subnet-app-az2","SecurityGroupId":"sg-app"}]}]'

Local Zones

对于在 AWS Local Zones 中运行的实例，托管弹性网络接口（ENI）驻留在父 AWS 区域中，而不是本地区域中。父区域与本地区域实例之间的运行状况检查流量会遍历本地区域服务链路，这可能会产生额外的数据传输费用。

最佳实践

问题排查

当应用程序状态检查报告受损，但您预期应用程序运行正常时，请验证以下各项：

原因代码

describe-application-status 响应包括每项检查的原因。该原因包含应用程序返回的 HTTP 状态代码（以数字形式表示）以及用于检查的协议。如果返回的状态代码包含在状态码匹配器中，则检查会被标记为 passed，否则标记为 failed。

该原因还包括原因代码，对于 HTTP 级别的结果，还包括协议和返回的 HTTP 状态代码。原因包含以下字段：

使用返回的 HTTP 状态代码来确定检查失败的原因。一些常见示例：

有关完整的 ApplicationStatusReason 结构，请参阅《Amazon EC2 API 参考》中的 ApplicationStatusReason。

常见错误

监控应用程序状态检查

您可以通过三种方式监控应用程序状态检查：

使用 CloudWatch 指标进行警报驱动的自动化。如果已查询实例状态，请使用 describe-instance-status。如需查看每项检查的详细状态，请使用 describe-application-status。

安全性和权限

AWS 通过服务相关角色创建和管理用于应用程序状态检查的网络接口。创建这些 ENI 的服务无需任何 IAM 设置。服务相关角色使用 EC2ApplicationStatusChecksServiceRolePolicy AWS 托管式策略。

要自行创建、关联、描述、删除和抑制应用程序状态检查，IAM 用户或角色需要相应的 Amazon EC2 权限。有关操作的完整列表，请参阅《Amazon EC2 API 参考》。

实例的安全组必须允许来自运行状况检查源安全组的入站流量通过您配置的端口。对于 AWS 管理的网络路径，AWS 提供源安全组；对于客户管理的网络路径，请使用您指定为源的安全组。

定价

应用程序状态检查按以下组件计费：

配额

应用程序状态检查受 AWS 服务配额限制。有关配额名称、默认值和描述，请参阅《AWS 一般参考》中的 Amazon EC2 端点和配额。

除了影响托管网络接口的 AWS 服务配额之外，应用程序状态检查还具有以下服务配额。您可以通过服务配额控制台查看您的使用情况并申请增加配额。

在这些配额中，目标是指一个运行状况检查监控的单个实例。如果多个运行状况检查监控一个实例，则每个实例和运行状况检查配对均计为一个单独的目标。关联是指您与运行状况检查关联的单个标签规则或单个实例 ID。无论解析到多少个实例，每个规则或实例 ID 都计为一个关联。

大多数配额增加都会自动获得批准。增加每个账户的目标数需要提出申请并经过手动审批。

建议针对应用程序状态检查配额使用情况创建一个 Amazon CloudWatch 警报，以便在达到配额之前收到通知。服务配额会将使用情况指标发布到 CloudWatch 中的 AWS/Usage 命名空间，您可以使用它来创建警报。