Wie behebe ich Fehler, die ich erhalte, wenn ich Amazon VPC-Schnittstellenendpunkte erstelle?

Kurzbeschreibung

Wenn du Amazon VPC-Schnittstellenendpunkte erstellst, erhältst du möglicherweise aus den folgenden Gründen Fehler:

• Du hast das Limit für das Amazon VPC-Servicekontingent für Endpunkte überschritten.
• Die API drosselt.
• Die privaten DNS-Namespaces überschneiden sich.
• Du hast unzureichende Berechtigungen für AWS Identity and Access Management (IAM).

Lösung

Hinweis: Wenn du beim Ausführen von AWS Command Line Interface (AWS CLI)-Befehlen Fehlermeldungen erhältst, findest du weitere Informationen dazu unter Problembehandlung bei der AWS CLI. Stelle außerdem sicher, dass du die neueste Version der AWS CLI verwendest.

Voraussetzung: Suche den API-Aufruf CreateVpcEndpoint in deinen AWS CloudTrail-Ereignissen.

Behebe Fehler bei Schnittstellenendpunkten, die dein Amazon VPC-Servicekontingent überschreiten

Wichtig: Die Gesamtzahl der VPC-Endpunkte in einem gemeinsam genutzten Subnetz darf das Kontingent des AWS-Kontos des Besitzers nicht überschreiten.

Standardmäßig beträgt das Kontingent für Schnittstellenendpunkte und Gateway Load Balancer-Endpunkte pro VPC 50. Diese Zahl beinhaltet VPC-Endpunkte, die von Teilnehmerkonten erstellt werden. Weitere Informationen findest du unter Kontingente für AWS PrivateLink.

Du hast das Limit für das Amazon VPC-Servicekontingent für Endpunkte überschritten

Wenn du mehr Endpunkte erstellst, als dein Servicekontingent zulässt, erhältst du möglicherweise die folgende Fehlermeldung in deinem CloudTrail-Ereignis:

„errorCode“: „Client.VpcEndpointLimitExceeded“,

„errorMessage“: „Limit of VPC endpoints per VPC exceeded.“

Beantrage eine Erhöhung des Servicekontingents, um dieses Problem zu beheben.

Du hast einen Amazon VPC-Endpunkt über das Teilnehmerkonto in einer gemeinsam genutzten Amazon VPC erstellt

Hinweis: Teilnehmerkonten können keine Schnittstellenendpunkte in einem gemeinsam genutzten Subnetz erstellen. Wenn jedoch ein Teilnehmerkonto einen unterstützten Service im gemeinsamen Subnetz der VPC konfiguriert, erstellt dieser Service einen Schnittstellenendpunkt im gemeinsam genutzten Subnetz.

Wenn du einen Endpunkt aus dem AWS-Teilnehmerkonto erstellst, tritt der folgende Fehler auf:

„errorCode“: „Client.UnauthorizedOperation“

„errorMessage“: „This operation does not support shared VPCs.“

Führe den Befehl describe-subnets aus, um den Besitz des Subnetzes zu überprüfen, und überprüfe den SubnetArn:

aws ec2 describe-subnets --subnet-ids example-subnet-id

Hinweis: Ersetze die example-subnet-id durch deine Subnetz-ID.

Um diesen Fehler zu beheben, erstelle den Endpunkt aus dem Amazon VPC-Besitzerkonto. Weitere Informationen findest du unter VPC-Ressourcen verwalten.

Du hast einen Amazon-VPC-Endpunkt aus dem Besitzerkonto mit einer Sicherheitsgruppe erstellt, die das Teilnehmerkonto in einer gemeinsam genutzten Amazon-VPC besitzt

Wenn du einen Endpunkt aus dem Besitzerkonto mit einer Sicherheitsgruppe erstellst, die das Teilnehmerkonto besitzt, tritt der folgende Fehler auf:

„errorCode“: „Client.InvalidParameter“,

„errorMessage“: „You are not authorized to perform CreateNetworkInterface operation. A subnet in this vpc is shared but the provided object is not owned by you“

Führe den Befehl describe-security-groups aus, um die OwnerId der Sicherheitsgruppe zu überprüfen:

aws ec2 describe-security-groups --group-id security-group-id

Hinweis: Ersetze security-group-id durch deine Sicherheitsgruppen-ID.

Verwende eine Sicherheitsgruppe, die demselben Konto wie das Besitzerkonto gehört, um diesen Fehler zu beheben.

Die API drosselt

Wenn deine API-Aufrufe drosseln, tritt in deinem CloudTrail-Ereignis der folgende Fehler auf:

„errorCode“: „Client.RequestLimitExceeded“,

„errorMessage“: „Request limit exceeded.“

Gehe wie folgt vor, um diesen Fehler zu beheben:

• Versuche, die fehlgeschlagene API-Anfrage mit dem Backoff-Mechanismus erneut durchzuführen.
• Verarbeite mehrere Ressourcen.
• Erhöhe das Schlafintervall zwischen Anfragen, um die Anforderungsrate zu reduzieren.
  Hinweis: Es hat sich bewährt, ein steigendes oder variables Schlafintervall zu verwenden.

Weitere Informationen findest du unter Anforderungsdrosselung für die Amazon Elastic Compute Cloud (Amazon EC2)-API.

Die privaten DNS-Namespaces überschneiden sich

Wenn sich deine privaten DNS-Namespaces überschneiden, tritt bei deinem CloudTrail-Ereignis der folgende Fehler auf:

„errorCode“: „Client.InvalidParameter“,

„errorMessage“: „private-dns-enabled cannot be set because there is already a conflicting DNS domain for in VPC“

Die folgenden Probleme verursachen diesen Fehler:

• Es gibt einen vorhandenen Schnittstellenendpunkt mit dem privaten DNS für denselben Service in der Amazon VPC.
• Eine privat gehostete Zone mit demselben Servicenamen ist der Amazon VPC zugeordnet.

Um diesen Fehler zu beheben, deaktiviere PrivateDNSEnabled, wenn du den Endpunkt erstellst, und verwende das standardmäßige Amazon VPC-Endpunkt-DNS. Für Amazon-VPCs mit privat gehosteten Zonen, die sich überschneidende Namespaces haben, erstelle manuell einen ALIAS-Datensatz mit dem standardmäßigen Amazon VPC-Endpunkt-DNS.

Eine privat gehostete Amazon Route 53-Zone, die mit der Amazon VPC verknüpft ist, kann sich in einem anderen Konto befinden. Um Details zu allen privat gehosteten Zonenzuordnungen anzuzeigen, führe den Befehl list-hosted-zones-by-vpc aus:

aws route53 list-hosted-zones-by-vpc --vpc-id example-vpc-ID --vpc-region example-region

Hinweis: Ersetze example-vpc-ID durch deine VPC-ID und example-region durch deine AWS-Region.

Unzureichende IAM-Berechtigungen

Wenn du beim Erstellen eines Amazon VPC-Endpunkts über unzureichende IAM-Berechtigungen verfügst, erhältst du die Fehlermeldung „AccessDenied“. Um diesen Fehler zu beheben, überprüfe die Berechtigungen für die IAM-Rolle, die den API-Aufruf durchführt. Aktualisiere dann die IAM-Rolle mit den erforderlichen Berechtigungen.

Ähnliche Informationen

Verantwortlichkeiten und Genehmigungen für Besitzer und Teilnehmer

Amazon VPC-Kontingente