故障排除：创建和更新 Amazon MWAA 环境

检查程序包版本。我们建议您始终为 requirements.txt 中的 Python 依赖项指定特定版本 (==) 或最高版本 (<=) 。

查看 Apache Airflow 日志。如果您启用了 Apache Airflow 日志，请在 CloudWatch 控制台的日志组页面上验证日志组是否已成功创建。如果您看到空白日志，最常见的原因是执行角色中缺少写入日志的 CloudWatch 或 Amazon S3 的权限。要了解更多信息，请参阅 执行角色。

检查 Apache Airflow 配置选项。如果您使用的是 Secrets Manager，请验证您指定为 Apache Airflow 配置选项的键值对是否配置正确。要了解更多信息，请参阅 使用 AWS Secrets Manager 密钥配置 Apache Airflow 连接。

检查 VPC 网络配置。要了解更多信息，请参阅 我尝试创建环境，但它一直处于“正在创建”状态。

检查执行角色权限。执行角色是 AWS Identity and Access Management (IAM) 角色，其权限策略允许 Amazon MWAA 代表您调用其他 AWS 服务（例如 Amazon S3、CloudWatch、Amazon SQS、Amazon ECR）的资源。还需要允许访问由客户托管的密钥或 AWS 自有密钥。要了解更多信息，请参阅 执行角色。

要运行故障排除脚本来检查 Amazon MWAA 环境的 Amazon VPC 网络设置和配置，请参阅 GitHub AWS 支持工具中的验证环境脚本。

按照步骤将 JSON 策略附加到执行角色。

附加以下 JSON 策略：

{
   "Effect":"Allow",
   "Action":[
      "s3:GetObject*",
      "s3:GetBucket*",
      "s3:List*"
   ],
   "Resource":[
      "arn:aws:s3:::YOUR_S3_BUCKET_NAME",
      "arn:aws:s3:::YOUR_S3_BUCKET_NAME/*"
   ]
}

将 YOUR_S3_BUCKET_NAME 中的示例占位符替换为 Amazon S3 存储桶名称，例如my-mwaa-unique-s3-bucket-name。

要运行故障排除脚本来检查 Amazon MWAA 环境的 Amazon VPC 网络设置和配置，请参阅 GitHub AWS 支持工具中的验证环境脚本。

使用公有路由检查 VPC 网络。如果您使用的是可访问互联网的 Amazon VPC，请验证以下内容：

1. Amazon VPC 已配置为允许 Amazon MWAA 环境使用的不同 AWS 资源之间的网络流量，如 关于在 Amazon MWAA 上联网 中所定义。例如，VPC 安全组必须允许自引用规则中的所有流量，或者可以选择指定 HTTPS 端口范围 443 和 TCP 端口范围 5432 的端口范围。

使用私有路由检查 VPC 网络。如果您使用的是不可访问互联网的 Amazon VPC，请验证以下内容：

1. Amazon VPC 已配置为允许 Amazon MWAA 环境使用的不同 AWS 资源之间的网络流量，如 关于在 Amazon MWAA 上联网 中所定义。例如，两个私有子网不得有通往 NAT 网关（或 NAT 实例）的路由表，也不能有互联网网关。

要运行故障排除脚本来检查 Amazon MWAA 环境的 Amazon VPC 网络设置和配置，请参阅 GitHub AWS 支持工具中的验证环境脚本。

检查 VPC 网络配置。要了解更多信息，请参阅 我尝试创建环境，但它一直处于“正在创建”状态。

检查用户权限 在创建环境之前，Amazon MWAA 会根据用户的凭证进行试运行。AWS 账户可能无权在 AWS Identity and Access Management (IAM) 中为环境创建某些资源。例如，如果您选择私有网络 Apache Airflow 访问模式，则 AWS 账户必须已获得管理员的授权，访问适用于环境的 AmazonmwafullConsoleAccess 访问控制策略，该策略允许账户创建 VPC 端点。

检查执行角色权限。执行角色是 AWS Identity and Access Management (IAM) 角色，其权限策略允许 Amazon MWAA 代表您调用其他 AWS 服务（例如 Amazon S3、CloudWatch、Amazon SQS、Amazon ECR）的资源。还需要允许访问由客户托管的密钥或 AWS 自有密钥。要了解更多信息，请参阅 执行角色。

查看 Apache Airflow 日志。如果您启用了 Apache Airflow 日志，请在 CloudWatch 控制台的日志组页面上验证日志组是否已成功创建。如果您看到空白日志，最常见的原因是执行角色中缺少写入日志的 CloudWatch 或 Amazon S3 的权限。要了解更多信息，请参阅 执行角色。

要运行故障排除脚本来检查 Amazon MWAA 环境的 Amazon VPC 网络设置和配置，请参阅 GitHub AWS 支持工具中的验证环境脚本。

如果您使用的是无法访问互联网的 Amazon VPC，请确保您已创建一个 Amazon S3 网关端点，并授予 Amazon ECR 访问 Amazon S3 所需的最低权限。要了解有关创建 Amazon S3 网关端点，请参阅以下内容：

检查 VPC 安全组配置。要了解更多信息，请参阅 我尝试创建环境，但它一直处于“正在创建”状态。

确认您在 requirements.txt 中列出的任何 Apache Airflow 程序包都对应于您在 Amazon MWAA 上运行的 Apache Airflow 版本。要了解更多信息，请参阅 安装 Python 依赖项。

要运行故障排除脚本来检查 Amazon MWAA 环境的 Amazon VPC 网络设置和配置，请参阅 GitHub AWS 支持工具中的验证环境脚本。

使用 GitHub 上的 aws-mwaa-local-runner 在本地测试 DAG、自定义插件和 Python 依赖项。

要运行故障排除脚本来检查 Amazon MWAA 环境的 Amazon VPC 网络设置和配置，请参阅 GitHub AWS 支持工具中的验证环境脚本。

检查用户权限 您可能未被授予允许您查看 Apache Airflow UI 的权限策略的访问权限。要了解更多信息，请参阅 访问 Amazon MWAA 环境。

检查网络访问。这可能是因为您选择了私有网络访问模式。如果 Apache Airflow UI 的 URL 采用以下格式 387fbcn-8dh4-9hfj-0dnd-834jhdfb-vpce.c10.us-west-2.airflow.amazonaws.com，则表示您在 Apache Airflow Web 服务器上使用私有路由。您可以将 Apache Airflow 访问模式更新为公有网络访问模式，也可以创建一种机制来访问 Apache Airflow Web 服务器的 VPC 端点。要了解更多信息，请参阅“在 Amazon MWAA 上管理对服务特定 Amazon VPC 端点的访问”。