Comment résoudre les problèmes liés aux secrets de Secrets Manager dans Amazon ECS ?

Brève description

Si vous ne placez pas de tâche avec un code secret Secrets Manager dans Amazon ECS, l'un des messages d’erreur suivants peut s’afficher :

« ResourceInitializationError error on AWS Fargate AccessDenied error on Amazon Elastic Compute Cloud (Amazon EC2) »

« The task is unable to retrieve secrets from Secrets Manager and fails. »

« ResourceInitializationError: unable to pull secrets or registry auth: execution resource retrieval failed: unable to retrieve secret from asm: service call has been retried 1 time(s): failed to fetch secret »

« AccessDeniedException: User: arn:aws:sts::XXXXXXXX:assumed-role/test-ecs-execution-role-no-secrets/XXXXXXXXXXX is not authorized to perform: »

Ces messages d'erreur apparaissent pour l'une des raisons suivantes :

• Le rôle d'exécution des tâches Amazon ECS ne dispose pas des autorisations requises pour accéder aux secrets de Secrets Manager.
• Secrets Manager ne trouve pas le secret spécifié.
• Le nom du secret se termine par un tiret suivi de six caractères et vous utilisez un Amazon Resource Name (ARN) partiel pour rechercher un secret.
• La configuration réseau de votre Amazon Virtual Private Cloud (Amazon VPC) présente des problèmes.

Utilisez le dossier d'exploitation AWSSupport-TroubleshootECSTaskFailedToStart pour résoudre les erreurs liées aux tâches Amazon ECS qui ne démarrent pas. Reportez-vous ensuite aux étapes de résolution des problèmes correspondant à votre problème.

Résolution

Prérequis : Assurez-vous que votre utilisateur ou votre rôle Gestion des identités et des accès AWS (AWS IAM) dispose des autorisations requises pour exécuter le dossier d'exploitation. Pour plus d'informations, consultez la section Autorisations IAM requises de la rubrique AWSSupport-TroubleshootECSTaskFailedToStart.

Utilisez le dossier d’exploitation AWSSupport-TroubleshootECSTaskFailedToStart dans la même région AWS où sont situées les ressources de votre cluster Amazon ECS.

Utilisez l'ID de tâche ayant échoué le plus récemment. Si la tâche ayant échoué fait partie du service Amazon ECS, utilisez la dernière tâche ayant échoué dans le service. La tâche ayant échoué doit être visible dans ECS:DescribeTasks lors de l'exécution de l'automatisation. Par défaut, les tâches Amazon ECS arrêtées sont visibles pendant 1 heure après le passage à l'état Arrêté.

Exécuter le dossier d'exploitation AWS Systems Manager

Procédez comme suit :

1. Ouvrez la console Systems Manager.
2. Dans le volet de navigation, sélectionnez Documents.
3. Dans la barre de recherche, saisissez TroubleshootECSTaskFailedToStart.
4. Sélectionnez le document AWSSupport-TroubleshootECSTaskFailedToStart.
5. Sélectionnez Exécuter l'automatisation.
6. Sélectionnez Exécuter.
7. Une fois l'automatisation terminée, examinez les résultats détaillés dans la section Sorties, puis suivez l'une des étapes de résolution de problèmes manuelles suivantes.

Vérifier les autorisations du rôle d'exécution des tâches Amazon ECS

Procédez comme suit :

1. Ouvrez la console IAM.
2. Dans le volet de navigation, sélectionnez Rôles.
3. Recherchez dans la liste des rôles le rôle d'exécution des tâches que vos tâches Amazon ECS utilisent.
4. Vérifiez que le rôle d'exécution de la tâche dispose des autorisations requises pour accéder à la ressource Secrets Manager.

Vérifiez l’existence du secret de Secrets Manager.

Procédez comme suit :

1. Ouvrez la console Secrets Manager.
2. Dans le volet de navigation, choisissez Secrets, puis choisissez le secret que vos tâches Amazon ECS utilisent.
3. Vérifiez que votre définition de tâche Amazon ECS inclut ces noms secrets spécifiques. Si vous avez spécifié des paramètres supplémentaires dans le secret, vérifiez que la définition de votre tâche inclut le json-key/version-stage/version-id spécifié dans le secret.

Vérifier le nom et l'ARN du secret de Secrets Manager

Vérifiez si votre nom secret se termine par un tiret suivi de six caractères. Par exemple, myappsecret-xxxxxx. Secrets Manager ajoute automatiquement un trait d'union et six caractères aléatoires après le nom secret à la fin de l'ARN. Il est recommandé de ne pas terminer votre nom secret par un trait d'union suivi de six caractères.

Pour résoudre ce problème, veillez à utiliser les ARN complets, y compris le trait d'union et les six caractères supplémentaires, des secrets de Secrets Manager.

Vérifier la configuration réseau de votre Amazon VPC

Créez les points de terminaison Amazon VPC de l'interface pour Secrets Manager lorsque les conditions suivantes sont remplies :

• Vous utilisez une définition de tâche qui fait référence aux secrets de Secrets Manager pour récupérer des données sensibles pour vos conteneurs.
• Vous utilisez les points de terminaison Amazon VPC de l'interface.

Assurez-vous également que les groupes de sécurité de vos points de terminaison de VPC autorisent l'infrastructure Amazon ECS à utiliser ces points de terminaison.

Pour vérifier si le point de terminaison Amazon VPC pour Secrets Manager existe, procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, sélectionnez Points de terminaison.
3. Assurez-vous de spécifier le point de terminaison Amazon VPC com.amazonaws.example-region.secretsmanager pour Secrets Manager.
4. Sélectionnez le point de terminaison, puis choisissez l'onglet Sous-réseaux. Assurez-vous que les sous-réseaux de ce point de terminaison incluent les points de terminaison utilisés par votre tâche Amazon ECS.
   Remarque : S'il n'y a aucun sous-réseau, choisissez Gérer les sous-réseaux. Sélectionnez le sous-réseau en fonction de sa Zone de disponibilité, puis choisissez Modifier les sous-réseaux.

Pour vérifier que le groupe de sécurité associé au point de terminaison com.amazonaws.example-region.secretsmanager autorise les connexions entrantes sur le port 443 à partir des tâches Amazon ECS, procédez comme suit :

1. Ouvrez la console Amazon VPC.
2. Dans le volet de navigation, sélectionnez Points de terminaison.
3. Sélectionnez le point de terminaison.
4. Choisissez l'onglet Groupes de sécurité.
5. Choisissez l'ID de groupe du groupe de sécurité que vous souhaitez vérifier.
6. Choisissez l'onglet Règles entrantes.
7. Vérifiez que la liste des règles entrantes inclut une règle qui autorise les connexions 443 à partir de vos tâches Amazon ECS.

Informations connexes

Comment transmettre des secrets ou des informations sensibles en toute sécurité à des conteneurs dans une tâche Amazon ECS ?

Résolution des problèmes liés à AWS Secrets Manager