Comment résoudre les problèmes liés à la journalisation du Gestionnaire de session sur Amazon S3 ou CloudWatch ?

Brève description

Les raisons les plus courantes pour lesquelles Session Manager n'envoie pas de journaux à Amazon S3 ou CloudWatch sont les suivantes :

• Journalisation du gestionnaire de session mal configurée
• Autorisations de compartiment Amazon S3 et politique de gestion des identités et des accès (IAM) d'AWS incorrectes
• Problèmes d'accessibilité des points de terminaison Amazon Virtual Private Cloud (Amazon VPC)

Prérequis :

• Complétez les prérequis du gestionnaire de session.
• Vérifiez ou créez un profil d'instance IAM avec les autorisations du gestionnaire de session.
• (Facultatif) Installez le plug-in Session Manager pour l'interface de la ligne de commande AWS (AWS CLI).

Résolution

Journalisation du gestionnaire de session mal configurée

Pour activer la journalisation des données de session, confirmez que vous avez configuré Session Manager pour la journalisation Amazon S3 ou la journalisation CloudWatch.

Remarque : Lorsque vous configurez la journalisation dans CloudWatch, consultez les préférences du gestionnaire de session pour vérifier que l'option CloudWatch est sélectionnée et qu'un groupe de journaux est défini. Vérifiez également que le nom du groupe de journaux fourni correspond à un groupe de journaux existant.

Autorisations de compartiment Amazon S3 et politique IAM incorrectes

Pour que Systems Manager puisse effectuer des actions sur vos instances, vous devez accorder l'accès via un rôle IAM. Pour plus d'informations, voir Vérifier ou créer un rôle IAM avec les autorisations du gestionnaire de session. Pour résoudre les problèmes liés aux journaux manquants dans Amazon S3, procédez comme suit :

• Vérifiez que la politique IAM est définie pour le bon ARN du compartiment Amazon S3.
• Vérifiez que la politique relative aux compartiments Amazon S3 dispose des autorisations d'accès à la ressource.

Problèmes d'accessibilité des points de terminaison Amazon VPC

Pour consulter les journaux du gestionnaire de session, vous devez créer un point de terminaison pour Amazon S3 ou CloudWatch.

Passez en revue la mise en réseau de bout en bout et vérifiez que l'autorisation HTTPS est ouverte pour les points de terminaison suivants :

• HTTPS://ec2.region-code.amazonaws.com
• HTTPS://ec2messages.region-code.amazonaws.com
• HTTPS://ssm.region-code.amazonaws.com
• HTTPS://ssmmessages.region-code.amazonaws.com
• HTTPS://s3.region-code.amazonaws.com
• HTTPS://monitoring.region-code.amazonaws.com

Pour plus d'informations, voir Se connecter à un service de point de terminaison en tant que consommateur du service.

Résolution des problèmes supplémentaires

Pour effectuer un dépannage supplémentaire pour les journaux CloudWatch, consultez l'Historique des événements AWS CloudTrail en fonction des actions et des horodatages. Pour plus d'informations, consultez les informations relatives à CloudWatch Logs dans CloudTrail.

Informations connexes

Comment résoudre les problèmes liés à AWS Systems Manager Session Manager ?