Warum kann ich SSM-Agent nicht auf meiner Amazon-EC2-Linux Instance installieren?

Kurzbeschreibung

SSM-Agent ist auf Instances vorinstalliert, die du aus Amazon Machine Images (AMIs) mit den folgenden Versionen des Linux-Betriebssystems erstellst:

• AlmaLinux
• Amazon Linux 2
• ECS-optimierte Basis-AMIs für Amazon Linux 2
• Amazon Linux 2023 (AL2023)
• Ubuntu Server 16.04 LTS 64-Bit (Snap), 18.04, 20.04, 22.04 LTS, 24.04 LTS, 24.0, and 25.04

Weitere Informationen findest du unter Suchen nach AMIs mit vorinstalliertem SSM-Agenten.

Du musst SSM-Agent manuell auf Instances installieren, die auf RedHat-, SUSE- oder CentOS-AMIs basieren.

Lösung

Voraussetzung: Stelle vor der Installation von SSM-Agent sicher, dass dein Betriebssystem Systems Manager unterstützt und dass du Systems Manager richtig eingerichtet hast.

SSM-Agent manuell installieren

Eine Anleitung zur manuellen Installation von SSM-Agent auf einer Linux-Instance findest du unter Wie installiere ich SSM-Agent beim Start auf einer Amazon-EC2-Linux-Instance?

Informationen für Windows findest du unter Wie installiere ich SSM-Agent beim Start auf einer Amazon-EC2-Windows-Instance?

Hinweis: Es empfiehlt sich, den Status von SSM-Agent zu überprüfen, bevor du Systems Manager zum ersten Mal auf einer Instance verwendest. Eine Anleitung findest du unter Den Status von SSM-Agent überprüfen.

Fehler beim Herunterladen von Paketen beheben

Wenn du SSM-Agent manuell installierst, wird das SSM-Agent-Paket aus einem Amazon Simple Storage Service (Amazon S3)-Repository heruntergeladen und installiert. Wenn die Instance keine Verbindung zum S3-Bucket herstellen kann, um das Paket herunterzuladen, schlägt die Installation von SSM-Agent fehl.

Stelle sicher, dass deine Instance Zugriff auf das S3-Repository hat, um das SSM-Agent-Paket basierend auf deiner Konfiguration herunterzuladen:

• Wenn sich die Instance in einem privaten Subnetz mit einem Network Address Translation (NAT)-Gateway befindet, findest du weitere Informationen unter NAT-Gateways.
• Wenn sich die Instance in einem privaten Subnetz mit einer NAT-Instance befindet, findest du weitere Informationen unter NAT-Instances.
• Wenn sich die EC2-Instance in einem öffentlichen Subnetz mit einem Internet-Gateway befindet, findest du weitere Informationen unter Grundlagen zu Internet-Gateways.
• Wenn sich die Instance in einem privaten oder öffentlichen Subnetz mit einem Amazon Virtual Private Cloud (VPC)-Endpunkt befindet, findest du weitere Informationen unter Gateway-Endpunkte für Amazon S3.

Sicherstellen, dass deine /etc/resolv.conf-Datei die richtige IP-Adresse für den DNS-Server enthält

Die folgenden Probleme führen dazu, dass der Paketdownload fehlschlägt:

• Die DNS-Server im Betriebssystem können die Amazon-S3-Endpunkt-URLs nicht auflösen.
• Du hast die DNS-Auflösung für die Amazon-VPC deaktiviert.

Führe den folgenden Befehl aus, um die vorherigen Fehler zu beheben:

cat /etc/resolv.conf

Überprüfe die Ergebnisse und stelle sicher, dass die IP-Adresse des Nameservers mit der IP-Adresse des DNS Servers übereinstimmt.

Weitere Informationen findest du unter Wie behebe ich Verbindungsprobleme mit meinen Gateway-Amazon-VPC-Endpunkten?

Das SSM-Agent-Paket überprüfen

SSM-Agent-Paketdateien haben kryptografische Signaturen. Um sicherzustellen, dass das SSM-Agent-Paket ein Original ist, verwende entweder RPM Package Manager oder GNU Privacy Guard, um die Signatur des Installationspakets zu überprüfen.

RPM Package Manager

Pakete von RPM Package Manager enthalten die erforderliche Bestätigungssignatur. Wenn du RPM Package Manager verwendest, um SSM-Agent zu installieren, führe den folgenden Befehl aus, um den öffentlichen Schlüssel in deinen Schlüsselbund zu importieren:

rpm --import amazon-ssm-agent.gpg

Der folgende Fehler weist darauf hin, dass du eine RHEL-Linux-8.x- und 9.x-Instance mit einem veralteten SHA1-Algorithmus verwendest:

„Transaction test error: package amazon-ssm-agent-VERSION_NO does not verify: Header V4 RSA/SHA1 Signature“

Um dieses Problem zu lösen, verwende GNU Privacy Guard, um den öffentlichen Schlüssel manuell zu importieren.

GNU Privacy Guard

Wenn du jedoch GNU Privacy Guard zur Verifizierung des Installationspakets verwendest, musst du den öffentlichen Schlüssel manuell importieren. Der folgende Fehler tritt auf, wenn du den öffentlichen Schlüssel nicht manuell importierst und GNU Privacy Guard verwendest:

„Public key for amazon-ssm-agent.rpm is not installed“

Um GNU Privacy Guard zur Überprüfung des SSM-Agent-Pakets zu verwenden, führe den folgenden Befehl aus, um den öffentlichen Schlüssel manuell zu importieren:

gpg --import amazon-ssm-agent.gpg

Überprüfe dann die Signatur des SSM-Agent-Installationspakets und installiere dann SSM-Agent.