¿Cómo puedo solucionar los errores de Systems Manager Run Command?

Solución

Requisitos previos

Antes de poder usar Run Command para administrar las instancias de EC2, debes configurar una política de usuario de AWS Identity and Access Management (IAM). La política de usuario es obligatoria para todos los usuarios que ejecuten comandos. Para verificar la configuración, sigue estos pasos:

1. Comprueba que haya un rol de perfil de instancia de IAM para Systems Manager asociado a tus instancias de EC2. Para obtener más información, consulta Configuración de los permisos de instancia para Systems Manager.
2. Revisa la política de IAM creada para el rol o el usuario. La política debe incluir permisos para las llamadas a la API de ec2messages ya que el punto de enlace es necesario para enviar y recibir comandos.

Nota: Systems Manager administra automáticamente las instancias de EC2 sin un perfil de instancia de IAM al establecer la configuración de la administración de hosts predeterminada. Todas las instancias de EC2 asociadas deben usar la versión 2 del servicio de metadatos de instancias (IMDSv2). La configuración de la administración de hosts predeterminada está disponible en la versión 3.2.582.0 o posterior de AWS Systems Manager Agent (SSM Agent). Configura los permisos para las llamadas a la API de ec2messages en la política adjunta al rol de IAM, ya que necesitas un punto de enlace para enviar y recibir comandos. Configura AWSSystemsManagerDefaultEC2InstanceManagementRole como el rol de IAM predeterminado. Este rol contiene el conjunto mínimo de permisos necesarios para administrar las instancias de EC2 con Systems Manager.

Solución de problemas de errores de Run Command

En Systems Manager, en el Administrador de flotas, las instancias de EC2 deben aparecer en Nodos administrados y el estado del ping de SSM Agent debe estar en línea. Si se produce un error en Run Command, prueba estas opciones de solución de problemas:

• Sigue los pasos de resolución descritos en ¿Por qué mi instancia de EC2 no aparece como nodo administrado ni muestra el estado de «Conexión perdida» en Systems Manager?
• Comprueba que la instancia utilice la versión más reciente de SSM Agent.
• Cuando Maintenance Window o State Manager ejecuten el comando, confirma que el comando se esté ejecutando. Para confirmar, utiliza AWS CloudTrail para revisar la respuesta de SendCommand.

Revisión de los detalles del estado de Run Command

1. Revisa los detalles del estado de Run Command.
2. Abre la consola de Systems Manager y, a continuación, selecciona Run Command en el panel de navegación.
3. Elige el ID del comando con hipervínculo para abrir la página Estado del comando.
4. En la sección Objetivos y salidas, elige el ID de la instancia con hipervínculo y, a continuación, revisa la salida.

Cuando la salida esté truncada, conéctate a la instancia de EC2 mediante SSH y navega a los directorios siguientes para ver todos los detalles del error. Anota los códigos de estado de salida y, a continuación, consulta Solución de problemas de Systems Manager Run Command para ver los pasos adicionales de solución de problemas.

Para Linux y macOS:

• /var/lib/amazon/ssm/<instance-id>/document/orchestration/<command-id>/<Plugin-name>/<Step-name>/stdout
• /var/lib/amazon/ssm/<instance-id>/document/orchestration/<command-id>/<Plugin-name>/<Step-name>/stderr

Para Windows:

• %ProgramData%\Amazon\SSM\InstanceData\<ManagedInstance-ID>\document\orchestration\<Command-ID>\<plug-in>\<step_number.plug-in>\stdout
• %ProgramData%\Amazon\SSM\InstanceData\<ManagedInstance-ID>\document\orchestration\<Command-ID>\<plug-in>\<step_number.plug-in>\stderr

Revisar los registros de SSM Agent

Revisa los registros de SSM Agent para obtener más información sobre el error.

Para Linux y macOS, busca los registros en los siguientes directorios:

• /var/log/amazon/ssm/amazon-ssm-agent.log
• /var/log/amazon/ssm/errors.log
• /var/log/amazon/ssm/audits/amazon-ssm-agent-audit-YYYY-MM-DD

Para Windows, busca los registros en los siguientes directorios:

• %PROGRAMDATA%\Amazon\SSM\Logs\amazon-ssm-agent.log
• %PROGRAMDATA%\Amazon\SSM\Logs\errors.log
• %PROGRAMDATA%\Amazon\SSM\Logs\audits\amazon-ssm-agent-audit-YYYY-MM-DD

Si los registros de SSM Agent no proporcionan la información que necesitas para resolver el error, permite que el registro de depuración reproduzca el problema.

Información relacionada

Documentos de AWS Systems Manager

Configuración de AWS Systems Manager