¿Cómo puedo solucionar problemas con las acciones de corrección fallidas en AWS Config?

3 minutos de lectura

Seguí las instrucciones de AWS Config Rules para subsanar los recursos de AWS no conformes. Sin embargo, la acción de corrección falló y la consola de AWS Config muestra el error de estado de la acción «Falló la ejecución de la acción (detalles)». He abierto la página de detalles, pero no contiene suficiente información para solucionar el problema.

Resolución

Siga estas instrucciones para solucionar el error de las acciones de corrección mediante Interfaz de línea de comandos de AWS (AWS CLI) o el historial de eventos de AWS CloudTrail.

Nota: Si recibe errores al ejecutar los comandos de AWS CLI, asegúrese de utilizar la versión más reciente de AWS CLI.

AWS CLI

1. Ejecute el comando de AWS CLI describe-remediation-execution-status para obtener un mensaje de error más detallado, el estado y las marcas de tiempo de las acciones de corrección similares a las siguientes:

aws configservice describe-remediation-execution-status \
     --config-rule-name example-rule \
     --region example-region \
     --resource-keys resourceType=example-resource-type,resourceId=example-resource-ID

Nota: Sustituya la regla de ejemplo example-rule, la región de ejemplo example-region, el tipo de recurso de ejemplo example-resource-type y el ID de recurso de ejemplo example-resource-ID por el nombre de la regla, la región, el tipo de recurso y el ID de recurso de AWS Config.

2. Recibirá un resultado similar al siguiente:

{
    "RemediationExecutionStatuses": [
        {
            "ResourceKey": {
                "resourceType": "AWS::EC2::Volume",
                "resourceId": "vol-0b399a24561582586"
            },
            "State": "FAILED",
            "StepDetails": [
                {
                    "Name": "createDocumentStack",
                    "State": "FAILED",
                    "ErrorMessage": "Automation Step Execution fails when it is creating a CloudFormation stack.
Get Exception from CreateStack API of cloudformation Service. Exception Message from CreateStack API:
[User: arn:aws:sts::xxxxx:assumed-role/config-remediation-sshpublic-role-zkga0ot3/config-remediation-sshpublic is not authorized to perform: cloudformation:CreateStack
on resource: arn:aws:cloudformation:eu-west-2:xxxxx:stack/DetachEBSVolumeStack2f6d3590-ea2c-424a-97ea-045749f07164/*
(Service: AmazonCloudFormation; Status Code: 403; Error Code: AccessDenied; Request ID: b8f41dd6-9020-11e9-897d-f9719db1a9e6)].
Please refer to Automation Service Troubleshooting Guide for more diagnosis details.",
                    "StartTime": 1560680582.675,
                    "StopTime": 1560680582.884
                },
                {
                    "Name": "detachVolume",
                    "State": "PENDING"
                },
                {
                    "Name": "deleteCloudFormationTemplate",
                    "State": "PENDING"
                }
            ],
            "InvocationTime": 1560680582.419,
            "LastUpdatedTime": 1560680583.67
        }
    ]
}

3. En la lista StepDetails, anote el mensaje de error y la causa del error.

Historial de eventos de CloudTrail

1. Abra la consola de AWS CloudTrail.

2. Siga las instrucciones de Viewing CloudTrail events in the CloudTrail console (Visualización de los eventos de CloudTrail en la consola de CloudTrail).

3. La acción de la API StartAutomationExecution se invoca cuando AWS Config inicia una acción de corrección. Filtre el nombre del evento con la API StartAutomationExecution y, en la página de detalles del evento, copie el requestID.

4. Abra la consola de Systems Manager y, a continuación, seleccione Automation (Automatización) en el panel de navegación.

5. Pegue el requestID en el campo de búsqueda Automation document (Documentos de automatización).

6. A continuación, busque la acción que realizó la corrección. Compruebe que el error esté relacionado con los permisos de AWS Identity and Access Management (IAM), los problemas de sintaxis o los parámetros incorrectos configurados en la acción de corrección.