`AWSSupport-TroubleshootEC2ConnectivityToRedshift`

説明

AWSSupport-TroubleshootEC2ConnectivityToRedshift ランブックは、Amazon Redshift クラスターに接続できない Amazon Elastic Compute Cloud (Amazon EC2) インスタンスの包括的なトラブルシューティングを提供します。ネットワーク接続パス、セキュリティ設定を体系的に分析し、詳細な修復推奨事項を提供します。

ランブックでは、次の接続シナリオがサポートされています。

同じ Amazon VPC 接続 - 同じ Amazon Virtual Private Cloud (Amazon VPC) 内の直接接続。
クロス Amazon VPC 接続 - Amazon VPCs ピアリングまたは AWS Transit Gateway を使用して、異なる VPC 間で接続します。
パブリック Amazon Redshift クラスターとプライベート Amazon Redshift クラスター - クラスターのアクセシビリティに基づいて異なる接続パターン。
インターネットベースのアクセス - インターネットゲートウェイまたは NAT ゲートウェイを介してパブリックにアクセス可能な Amazon Redshift クラスターに接続する Amazon EC2 インスタンス。

仕組み

ランブックは、Amazon VPC Reachability Analyzer を主要な診断ツールとして使用して、Amazon EC2 インスタンスと Amazon Redshift クラスター間の接続問題をすばやく特定します。Reachability Analyzer が AWS リージョンでサポートされていない場合、または何らかの理由で失敗した場合、ランブックはセキュリティグループ、ネットワーク ACLs、ルートテーブル、DNS 設定をカバーする包括的な標準接続チェックに自動的にフォールバックします。

重要

このランブックを実行すると、アカウントに Reachability Analyzer 分析が作成され、分析ごとの料金が発生します。詳細については、「Amazon VPC 料金表」の「ネットワーク分析」セクションを参照してください。

このランブックは、Reachability Analyzer を使用して、アカウントにネットワークインサイトパスとネットワークインサイト分析を作成します。ランブックが正常に完了すると、これらのリソースは削除されます。クリーンアップステップが失敗した場合、ネットワークインサイトパスは削除されないため、手動で削除する必要があります。ネットワークインサイトパスを手動で削除しない場合、 AWS 引き続きアカウントのクォータにカウントされます。詳細については、「Reachability Analyzer のクォータ」を参照してください。

ファイアウォール、プロキシ、ローカル DNS リゾルバー、ホストファイルの使用などのオペレーティングシステムレベルの設定は、Reachability Analyzer がのステータスを返した場合でも、接続に影響する可能性がありますPASS。

アナライザーによって実行されたすべてのチェックの評価を確認します。いずれかのチェックがのステータスを返した場合FAIL、全体的な到達可能性チェックがのステータスを返しても接続に影響する可能性がありますPASS。

このオートメーションを実行する (コンソール)

ドキュメントタイプ

オートメーション

[所有者]

Amazon

[Platforms] (プラットフォーム)

必要な IAM アクセス許可

AutomationAssumeRole パラメータでは、ランブックを正常に使用するために、次のアクションが必要です。

ec2:CreateNetworkInsightsPath
ec2:DeleteNetworkInsightsAnalysis
ec2:DeleteNetworkInsightsPath
ec2:DescribeInstances
ec2:DescribeInternetGateways
ec2:DescribeNatGateways
ec2:DescribeNetworkAcls
ec2:DescribeNetworkInsightsAnalyses
ec2:DescribeNetworkInsightsPaths
ec2:DescribeNetworkInterfaces
ec2:DescribeRouteTables
ec2:DescribeSecurityGroups
ec2:DescribeSubnets
ec2:DescribeTransitGatewayVpcAttachments
ec2:DescribeTransitGateways
ec2:DescribeVpcAttribute
ec2:DescribeVpcEndpoints
ec2:DescribeVpcPeeringConnections
ec2:DescribeVpcs
ec2:StartNetworkInsightsAnalysis
redshift:DescribeClusterSubnetGroups
redshift:DescribeClusters

IAM ポリシーの例:



{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkInsightsPath",
                "ec2:DeleteNetworkInsightsAnalysis",
                "ec2:DeleteNetworkInsightsPath",
                "ec2:DescribeInstances",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeNatGateways",
                "ec2:DescribeNetworkAcls",
                "ec2:DescribeNetworkInsightsAnalyses",
                "ec2:DescribeNetworkInsightsPaths",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeTransitGatewayVpcAttachments",
                "ec2:DescribeTransitGateways",
                "ec2:DescribeVpcAttribute",
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeVpcPeeringConnections",
                "ec2:DescribeVpcs",
                "ec2:StartNetworkInsightsAnalysis",
                "redshift:DescribeClusterSubnetGroups",
                "redshift:DescribeClusters"
            ],
            "Resource": "*"
        }
    ]
}

指示

次の手順に従って自動化を設定します。

Systems Manager のドキュメントで AWSSupport-TroubleshootEC2ConnectivityToRedshift を開きます。
[Execute automation (自動化の実行)] を選択してください。
入力パラメータには、次のように入力します。
- AutomationAssumeRole（オプション):
  
  Systems Manager Automation がユーザーに代わってアクションを実行できるようにする AWS Identity and Access Management (IAM) ロール ARN。ロールを指定しない場合、Systems Manager Automation はこのランブックを開始するユーザーのアクセス許可を使用します。
  
  型: AWS::IAM::Role::Arn
- SourceInstance (必須):
  
  Amazon Redshift クラスターとの接続の問題が発生している Amazon EC2 インスタンス ID。
  
  型: AWS::EC2::Instance::Id
  
  許可されるパターン: ^i-[0-9a-f]{8,17}$
- ClusterIdentifier (必須):
  
  接続のトラブルシューティング用の Amazon Redshift クラスター識別子。
  
  タイプ: 文字列
  
  許可されるパターン: ^[a-z][a-z0-9-]*[a-z0-9]$
[実行] を選択してください。
自動化が開始されます。
ドキュメントは以下のステップを実行します。
- CollectEC2Metadata: Amazon EC2 インスタンスに関する包括的なメタデータを収集します。
- InitializeInstanceIP: Amazon EC2 インスタンスのプライベート IP アドレスを使用してソース IP 変数を初期化します。この変数は、トラブルシューティングプロセス全体で、決定された接続パスに基づいて動的に更新されます。
- AnalyzeEC2SubnetType: Amazon EC2 インスタンスのサブネットルーティング設定を分析して、サブネットタイプとインターネット接続機能を決定します。NAT Gateway パブリック IP アドレスが存在する場合、それを識別します。
- CollectRedshiftMetadata: Amazon VPC の詳細、エンドポイント情報、ポート設定、パブリックアクセシビリティ設定、セキュリティグループ、ネットワークインターフェイスの詳細など、包括的な Amazon Redshift クラスター設定を取得します。
- CollectRedshiftSubnetInfo: 関連付けられたすべてのサブネットと Amazon VPC の詳細を含む、Amazon Redshift クラスターのサブネットグループ設定に関する詳細情報を取得します。
- RunReachabilityAnalysis: Amazon EC2 インスタンスと Amazon Redshift クラスター間の包括的なネットワークパス分析を実行するための主要な診断ツールとして Amazon VPC Reachability Analyzer を実行します。セキュリティグループ、ネットワーク ACLs、ルートテーブル、ネットワークインターフェイスを分析します。このステップが失敗すると、ランブックはから始まる手動接続チェックに戻りますAnalyzeRedshiftSubnetType。
- BranchOnReachabilityResults: Reachability Analyzer の結果に基づいてトラブルシューティングパスを決定します。分析が成功し、ネットワークパスが見つかった場合、は DNS 検証に直接進みます。それ以外の場合、は手動トラブルシューティングを続行します。
- AnalyzeRedshiftSubnetType: Amazon Redshift クラスターのサブネットルーティング設定を分析して、サブネットタイプとインターネット接続機能を決定します。
- BranchOnCompareVpcIds: Amazon EC2 インスタンスと Amazon Redshift クラスターの Amazon VPC IDs を比較します。両方のリソースが Amazon VPC を共有する場合、同じ Amazon VPC トラブルシューティングにルーティングされます。それ以外の場合は、Amazon VPC 間の分析に進みます。
- ValidateSameVpcRequirements: (同じ Amazon VPC パス) Amazon EC2 サブネットと Amazon Redshift サブネットの両方に適切なローカルルーティング設定があることを確認して、接続要件を検証します。
- DetectCrossVpcConnectivity: (クロス Amazon VPC パス) クロス Amazon VPC 接続方法を検出して分析します。アクティブな Amazon VPC ピアリング接続と AWS Transit Gateway アタッチメントを検索します。
- ValidateVpcPeeringRouting: (VPC ピアリングパス) ピアリング接続を介して Amazon EC2 と Amazon Redshift VPCs 間の双方向ルーティングを検証します。
- ValidateTransitGatewayRouting: (AWS Transit Gateway パス) 両方の Amazon VPC アタッチメントのルートテーブル、関連付け、伝達を分析することで、Transit Gateway ルート設定を検証します。
- UpdateInstanceIPForPublicAccess: (パブリックアクセスパス) パブリックアクセスシナリオのセキュリティグループ検証のために、ソース IP 変数を正しいパブリック IP または NAT Gateway IP で更新します。
- CheckSecurityGroups: Amazon EC2 インスタンスと Amazon Redshift クラスターの両方のセキュリティグループルールを検証します。Amazon Redshift セキュリティグループのインバウンドルールと Amazon EC2 セキュリティグループのアウトバウンドルールを確認します。
- CheckNetworkACLs: Amazon EC2 と Amazon Redshift サブネット間の接続に関するネットワーク ACL ルールを検証します。リターントラフィックのエフェメラルポート範囲を含むインバウンドルールとアウトバウンドルールの両方を分析します。
- ValidateDNSConfiguration: DNS サポート、DNS ホスト名、DHCP オプションセットなど、Amazon EC2 と Amazon Redshift VPCs の両方の DNS 設定を検証します。
- GenerateFinalReport: 分類された問題の概要、優先順位付けされた修復ステップ、ネットワークトポロジ分析、詳細な推奨事項など、すべての検出結果を統合する包括的な診断レポートを生成します。
自動化が完了したら、出力セクションで実行の詳細な結果を確認します。

アウトプット

GenerateFinalReport.DiagnosticReport - すべての検出結果と修復の推奨事項を含む包括的な診断レポート。
GenerateFinalReport.OverallStatus - 全体的な接続ステータスの結果。
GenerateFinalReport.IssuesSummary - 特定されたすべての問題の分類された概要。
GenerateFinalReport.InstanceIPFinalValue - 分析中に使用される最終的な送信元 IP アドレス。
GenerateFinalReport.ConnectivityMethod - Amazon EC2 インスタンスと Amazon Redshift クラスターの間で検出された接続方法。

リファレンス

AWS Systems Manager Automation

ドキュメントの表記規則

Amazon Redshift

AWSConfigRemediation-DeleteRedshiftCluster