`AWSSupport-TroubleshootEC2ConnectivityToRedshift`

Description

Das AWSSupport-TroubleshootEC2ConnectivityToRedshift Runbook bietet eine umfassende Fehlerbehebung für Amazon Elastic Compute Cloud (Amazon EC2) -Instances, die keine Verbindung zu Amazon Redshift Redshift-Clustern herstellen können. Es analysiert systematisch Netzwerkverbindungspfade und Sicherheitskonfigurationen und gibt detaillierte Empfehlungen zur Problembehebung.

Das Runbook unterstützt die folgenden Konnektivitätsszenarien:

Gleiche Amazon VPC-Konnektivität — Direkte Verbindung innerhalb derselben Amazon Virtual Private Cloud (Amazon VPC).
Cross-Amazon VPC-Konnektivität — Verbindung zwischen verschiedenen VPCs mithilfe von Amazon VPC-Peering oder Transit Gateway. AWS
Öffentliche und private Amazon Redshift Redshift-Cluster — Verschiedene Konnektivitätsmuster, die auf der Cluster-Zugänglichkeit basieren.
Internet-based Zugriff — Amazon EC2 EC2-Instances, die über Internet Gateway oder NAT Gateway eine Verbindung zu öffentlich zugänglichen Amazon Redshift Redshift-Clustern herstellen.

Funktionsweise

Das Runbook verwendet Amazon VPC Reachability Analyzer als primäres Diagnosetool, um Verbindungsprobleme zwischen der Amazon EC2-Instance und dem Amazon Redshift Redshift-Cluster schnell zu identifizieren. Wenn Reachability Analyzer in Ihrer AWS Region nicht unterstützt wird oder aus irgendeinem Grund ausfällt, greift das Runbook automatisch auf umfassende Standardkonnektivitätsprüfungen zurück, die Sicherheitsgruppen, Netzwerk-ACLs, Routing-Tabellen und die DNS-Konfiguration umfassen.

Wichtig

Wenn Sie dieses Runbook ausführen, wird in Ihrem Konto eine Reachability Analyzer-Analyse erstellt, für die eine Gebühr pro Analyse anfällt. Weitere Informationen finden Sie im Abschnitt Netzwerkanalyse unter Amazon VPC-Preise.

Dieses Runbook erstellt mithilfe von Reachability Analyzer einen Network Insights-Pfad und eine Network Insights-Analyse in Ihrem Konto. Wenn das Runbook erfolgreich abgeschlossen wird, werden diese Ressourcen gelöscht. Wenn der Bereinigungsschritt fehlschlägt, wird der Network Insights-Pfad nicht gelöscht, und Sie müssen ihn manuell löschen. Wenn Sie den Network Insights-Pfad nicht manuell löschen, wird er weiterhin auf das Kontingent für Ihr AWS Konto angerechnet. Weitere Informationen finden Sie unter Quotas for Reachability Analyzer.

Konfigurationen auf Betriebssystemebene wie die Verwendung einer Firewall, eines Proxys, eines lokalen DNS-Resolvers oder einer Hosts-Datei können die Konnektivität beeinträchtigen, selbst wenn der Reachability Analyzer den Status zurückgibt. PASS

Überprüfen Sie die Auswertung aller vom Analyzer durchgeführten Prüfungen. Wenn bei einer Überprüfung der Status von zurückgegeben wirdFAIL, kann dies Auswirkungen auf die Konnektivität haben, selbst wenn bei der allgemeinen Erreichbarkeitsprüfung der Status zurückgegeben wird. PASS

Führen Sie diese Automatisierung aus (Konsole)

Art des Dokuments

Automatisierung

Eigentümer

Amazon

Plattformen

Erforderliche IAM-Berechtigungen

Der AutomationAssumeRole Parameter erfordert die folgenden Aktionen, um das Runbook erfolgreich zu verwenden.

ec2:CreateNetworkInsightsPath
ec2:DeleteNetworkInsightsAnalysis
ec2:DeleteNetworkInsightsPath
ec2:DescribeInstances
ec2:DescribeInternetGateways
ec2:DescribeNatGateways
ec2:DescribeNetworkAcls
ec2:DescribeNetworkInsightsAnalyses
ec2:DescribeNetworkInsightsPaths
ec2:DescribeNetworkInterfaces
ec2:DescribeRouteTables
ec2:DescribeSecurityGroups
ec2:DescribeSubnets
ec2:DescribeTransitGatewayVpcAttachments
ec2:DescribeTransitGateways
ec2:DescribeVpcAttribute
ec2:DescribeVpcEndpoints
ec2:DescribeVpcPeeringConnections
ec2:DescribeVpcs
ec2:StartNetworkInsightsAnalysis
redshift:DescribeClusterSubnetGroups
redshift:DescribeClusters

Beispiel für eine IAM-Richtlinie:



{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInsightsPath",
                "ec2:DeleteNetworkInsightsAnalysis",
                "ec2:DeleteNetworkInsightsPath",
                "ec2:DescribeInstances",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeNatGateways",
                "ec2:DescribeNetworkAcls",
                "ec2:DescribeNetworkInsightsAnalyses",
                "ec2:DescribeNetworkInsightsPaths",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeTransitGatewayVpcAttachments",
                "ec2:DescribeTransitGateways",
                "ec2:DescribeVpcAttribute",
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeVpcPeeringConnections",
                "ec2:DescribeVpcs",
                "ec2:StartNetworkInsightsAnalysis",
                "redshift:DescribeClusterSubnetGroups",
                "redshift:DescribeClusters"
            ],
            "Resource": "*"
        }
    ]
}

Anleitungen

Gehen Sie wie folgt vor, um die Automatisierung zu konfigurieren:

Öffnen Sie AWSSupport-TroubleshootEC2ConnectivityToRedshiftim Systems Manager unter Dokumente.
Wählen Sie Automatisierung ausführen.
Geben Sie für die Eingabeparameter Folgendes ein:
- AutomationAssumeRole (Fakultativ):
  
  Die AWS Identity and Access Management (IAM) -Rolle ARN, mit der Systems Manager Automation Aktionen in Ihrem Namen ausführen kann. Wenn keine Rolle angegeben ist, verwendet Systems Manager Automation die Berechtigungen des Benutzers, der dieses Runbook startet.
  
  Typ: AWS::IAM::Role::Arn
- SourceInstance (Erforderlich):
  
  Die Amazon EC2 EC2-Instance-ID, bei der Verbindungsprobleme mit dem Amazon Redshift Redshift-Cluster aufgetreten sind.
  
  Typ: AWS::EC2::Instance::Id
  
  Zulässiges Muster: ^i-[0-9a-f]{8,17}$
- ClusterIdentifier (Erforderlich):
  
  Die Amazon Redshift Redshift-Cluster-ID für die Behebung von Verbindungsproblemen.
  
  Typ: Zeichenfolge
  
  Zulässiges Muster: ^[a-z][a-z0-9-]*[a-z0-9]$
Wählen Sie Ausführen.
Die Automatisierung wird eingeleitet.
Das Dokument führt die folgenden Schritte aus:
- CollectEC2Metadata: Sammelt umfassende Metadaten über die Amazon EC2 EC2-Instance, einschließlich Amazon VPC-Konfiguration, Subnetzdetails, IP-Adressen, Sicherheitsgruppen und Instanzstatus.
- InitializeInstanceIP: Initialisiert die Quell-IP-Variable mit der privaten IP-Adresse der Amazon EC2 EC2-Instance. Diese Variable wird während des gesamten Fehlerbehebungsprozesses auf der Grundlage des festgelegten Konnektivitätspfads dynamisch aktualisiert.
- AnalyzeEC2SubnetType: Analysiert die Subnetz-Routing-Konfiguration der Amazon EC2 EC2-Instance, um den Subnetztyp und die Internetverbindungsmöglichkeiten zu bestimmen. Identifiziert öffentliche IP-Adressen des NAT-Gateways, falls vorhanden.
- CollectRedshiftMetadata: Ruft eine umfassende Amazon Redshift Redshift-Cluster-Konfiguration ab, einschließlich Amazon VPC-Details, Endpunktinformationen, Portkonfiguration, Einstellungen für öffentlichen Zugriff, Sicherheitsgruppen und Netzwerkschnittstellendetails.
- CollectRedshiftSubnetInfo: Ruft detaillierte Informationen über die Subnetzgruppenkonfiguration des Amazon Redshift Redshift-Clusters ab, einschließlich aller zugehörigen Subnetze und Amazon VPC-Details.
- RunReachabilityAnalysis: Führt Amazon VPC Reachability Analyzer als primäres Diagnosetool für die Durchführung einer umfassenden Netzwerkpfadanalyse zwischen der Amazon EC2 EC2-Instance und dem Amazon Redshift Redshift-Cluster aus. Analysiert Sicherheitsgruppen, Netzwerk-ACLs, Routing-Tabellen und Netzwerkschnittstellen. Schlägt dieser Schritt fehl, greift das Runbook ab auf manuelle Konnektivitätsprüfungen zurück. AnalyzeRedshiftSubnetType
- BranchOnReachabilityResults: Bestimmt den Pfad zur Fehlerbehebung auf der Grundlage der Ergebnisse von Reachability Analyzer. Wenn die Analyse erfolgreich ist und ein Netzwerkpfad gefunden wird, wird direkt mit der DNS-Validierung fortgefahren. Andernfalls wird mit der manuellen Fehlerbehebung fortgefahren.
- AnalyzeRedshiftSubnetType: Analysiert die Subnetz-Routing-Konfiguration des Amazon Redshift Redshift-Clusters, um den Subnetztyp und die Internetverbindungsmöglichkeiten zu bestimmen.
- BranchOnCompareVpcIds: Vergleicht die Amazon VPC-IDs der Amazon EC2 EC2-Instance und des Amazon Redshift Redshift-Clusters. Leitet zur Fehlerbehebung für dieselbe Amazon-VPC weiter, wenn beide Ressourcen eine Amazon-VPC gemeinsam nutzen. Andernfalls wird mit der Amazon-übergreifenden VPC-Analyse fortgefahren.
- ValidateSameVpcRequirements: (Same-Amazon VPC-Pfad) Überprüft die Konnektivitätsanforderungen, indem überprüft wird, ob sowohl die Amazon EC2- als auch die Amazon Redshift Redshift-Subnetze über die richtige lokale Routing-Konfiguration verfügen.
- DetectCrossVpcConnectivity: (Cross-Amazon VPC-Pfad) Erkennt und analysiert amazonübergreifende VPC-Verbindungsmethoden. Sucht nach aktiven Amazon VPC-Peering-Verbindungen und AWS Transit Gateway Gateway-Anhängen.
- ValidateVpcPeeringRouting: (VPC-Peering-Pfad) Validiert das bidirektionale Routing zwischen den Amazon EC2- und Amazon Redshift Redshift-VPCs über die Peering-Verbindung.
- ValidateTransitGatewayRouting: (AWS Transit Gateway Gateway-Pfad) Validiert die Transit Gateway Gateway-Routenkonfiguration, indem Routentabellen, Zuordnungen und Propagierungen für beide Amazon VPC-Anlagen analysiert werden.
- UpdateInstanceIPForPublicAccess: (Öffentlicher Zugriffspfad) Aktualisiert die Quell-IP-Variable mit der richtigen öffentlichen IP- oder NAT-Gateway-IP für die Sicherheitsgruppenvalidierung in Szenarien mit öffentlichem Zugriff.
- CheckSecurityGroups: Überprüft Sicherheitsgruppenregeln sowohl für die Amazon EC2 EC2-Instance als auch für den Amazon Redshift Redshift-Cluster. Überprüft eingehende Regeln für Amazon Redshift Redshift-Sicherheitsgruppen und ausgehende Regeln für Amazon EC2-Sicherheitsgruppen.
- CheckNetworkACLs: Überprüft Netzwerk-ACL-Regeln für die Konnektivität zwischen Amazon EC2- und Amazon Redshift Redshift-Subnetzen. Analysiert sowohl eingehende als auch ausgehende Regeln, einschließlich kurzlebiger Portbereiche für Rückverkehr.
- ValidateDNSConfiguration: Überprüft die DNS-Konfigurationseinstellungen für Amazon EC2- und Amazon Redshift Redshift-VPCs, einschließlich DNS-Unterstützung, DNS-Hostnamen und DHCP-Optionssätzen.
- GenerateFinalReport: Generiert einen umfassenden Diagnosebericht, in dem alle Ergebnisse zusammengefasst werden, einschließlich kategorisierter Problemzusammenfassungen, priorisierter Behebungsschritte, Netzwerktopologieanalysen und detaillierter Empfehlungen.
Nach Abschluss der Automatisierung finden Sie im Abschnitt Outputs die detaillierten Ergebnisse der Ausführung.

Outputs

GenerateFinalReport.DiagnosticReport- Ein umfassender Diagnosebericht mit allen Ergebnissen und Empfehlungen zur Problembehebung.
GenerateFinalReport.OverallStatus- Das allgemeine Ergebnis des Konnektivitätsstatus.
GenerateFinalReport.IssuesSummary- Eine kategorisierte Zusammenfassung aller identifizierten Probleme.
GenerateFinalReport.InstanceIPFinalValue- Die endgültige Quell-IP-Adresse, die während der Analyse verwendet wurde.
GenerateFinalReport.ConnectivityMethod— Die erkannte Verbindungsmethode zwischen der Amazon EC2 EC2-Instance und dem Amazon Redshift Redshift-Cluster.

Referenzen

AWS Systems Manager -Automatisierung

Dokumentkonventionen

Amazon Redshift

AWSConfigRemediation-DeleteRedshiftCluster