Comment dépanner mon environnement Amazon MWAA bloqué à l'état « Creating (En cours de création) » ?

Solution

Exécutez un script de dépannage pour vérifier que les conditions préalables à l'environnement Amazon MWAA, telles que les autorisations de rôle AWS Identity and Access Management (IAM) et la configuration Amazon Virtual Private Cloud (Amazon VPC) sont remplies. Pour plus d'informations, veuillez consulter le script Verify environment (Vérifier l'environnement) dans AWS Support Tools sur GitHub.

Si votre environnement Amazon MWAA est bloqué à l'état « Creating (En cours de création) » pendant une durée plus courte, le problème peut être dû aux autorisations IAM manquantes pour d'autres services AWS, tels que les suivants : Amazon Simple Storage Service (Amazon S3), Amazon CloudWatch, Amazon Simple Queue Service (Amazon SQS) et Amazon Elastic Container Registry (Amazon ECR) et AWS Key Management Service (AWS KMS). Assurez-vous que votre rôle d'exécution et votre rôle lié à un service disposent des autorisations requises. Si vous utilisez une clé gérée par le client, veillez également à mettre à jour la politique de clé gérée par le client. Pour connaître les étapes de dépannage, veuillez consulter J'ai essayé de créer un environnement, mais il affiche le statut « Création échouée ».

Si votre environnement est bloqué pendant plus de 30 minutes à l'état « Creating (En cours de création) », le problème peut être lié à la configuration réseau. La cause racine du problème et la solution appropriée dépendent de la configuration de votre réseau.

La configuration de votre réseau n'est pas reliée aux services AWS ou à Internet

Pour résoudre ce problème, en fonction du type de routage que vous choisissez, vérifiez que la configuration réseau répond aux conditions préalables respectives pour l'environnement :

• Routage public : assurez-vous que votre infrastructure Amazon VPC possède deux sous-réseaux publics et deux sous-réseaux privés. Les sous-réseaux publics obtiennent des adresses IP publiques et ont l'acheminement par défaut vers la passerelle Internet. Les sous-réseaux privés obtiennent uniquement des adresses IP privées et n'ont aucun acheminement vers la passerelle Internet. Au lieu de cela, ils disposent d'un acheminement vers la passerelle NAT. Pour plus d'informations, veuillez consulter la section Routage public sur Internet. En règle générale, le flux réseau avec routage public ressemble à ce qui suit :
  Sous-réseau privé - acheminement par défaut vers la passerelle NAT - passerelle NAT associée au sous-réseau public - sous-réseau public - acheminement par défaut vers la passerelle Internet - Internet
• Routage privé : votre Amazon VPC sans accès Internet a besoin de points de terminaison de service VPC supplémentaires pour utiliser Apache Airflow sur MWAA. Ces points de terminaison d'un Amazon VPC incluent Amazon S3, la surveillance, ecr.dkr, ecr.api, les journaux, sqs, kms, airflow.api, airflow.env et airflow.ops. Pour plus d'informations, veuillez consulter les sections Création des points de terminaison de service VPC requis dans un Amazon VPC avec routage privé et Routage privé sans accès Internet. Assurez-vous que le DNS privé est activé sur les points de terminaison d'un VPC. Vérifiez que les points de terminaison sont associés aux sous-réseaux et au groupe de sécurité de l'environnement. Assurez-vous également que la politique de point de terminaison d'un VPC pour chaque point de terminaison est configurée afin d'autoriser un accès complet au point de terminaison.

Le groupe de sécurité ou la liste de contrôle d'accès réseau (ACL) limite le trafic réseau

Pour résoudre ce problème, vérifiez que le groupe de sécurité spécifie une règle entrante auto-référencée pour lui-même ou pour la plage de ports HTTPS 443 et TCP 5432. Le groupe de sécurité doit spécifier une règle sortante pour tout le trafic. La liste ACL réseau doit avoir une règle entrante ou sortante qui autorise tout le trafic. Pour obtenir un exemple, veuillez consulter la section Exemples de listes de contrôle d'accès.

Le téléchargement de l'image de conteneur depuis Amazon ECR a échoué

Si vous utilisez un Amazon VPC sans accès Internet, assurez-vous d'avoir créé un point de terminaison de passerelle Amazon S3 et d'avoir accordé les autorisations minimales requises à Amazon ECR pour accéder à Amazon S3 dans cette Région.

Pour résoudre les problèmes liés au réseau Amazon VPC avec un routage public/privé, veuillez consulter J'ai essayé de créer un environnement et il est bloqué dans l'état « Création ».

Informations connexes

À propos des réseaux sur Amazon MWAA