Come posso risolvere gli errori che ricevo quando creo endpoint Amazon VPC di interfaccia?

Breve descrizione

Quando crei endpoint Amazon VPC di interfaccia, potresti ricevere errori per i seguenti motivi:

• Hai superato il limite della quota di servizio di Amazon VPC per gli endpoint.
• L'API sta subendo una limitazione (della larghezza di banda della rete).
• I namespace DNS privati si sovrappongono.
• Le autorizzazioni AWS Identity and Access Management (AWS IAM) sono insufficienti.

Risoluzione

Nota: se ricevi errori quando esegui i comandi dell'Interfaccia della linea di comando AWS (AWS CLI), consulta Risoluzione degli errori per AWS CLI. Inoltre, assicurati di utilizzare la versione più recente di AWS CLI.

Prerequisito: individua la chiamata API CreateVpcEndpoint negli eventi di AWS CloudTrail.

Risolvi i problemi relativi agli endpoint di interfaccia che superano la quota di servizio di Amazon VPC

Importante: il numero totale di endpoint VPC in una sottorete condivisa non può superare la quota dell'account AWS proprietario.

Per impostazione predefinita, la quota per gli endpoint di interfaccia e gli endpoint di Gateway Load Balancer per ogni VPC è 50. Questo numero include gli endpoint VPC creati dagli account partecipanti. Per ulteriori informazioni, consulta Prezzi di AWS PrivateLink.

Hai superato il limite della quota di servizio di Amazon VPC per gli endpoint

Se crei più endpoint di quanto consentito dalla quota di servizio, potresti ricevere il seguente errore nell'evento di CloudTrail:

"errorCode": "Client.VpcEndpointLimitExceeded",

"errorMessage": "Limit of VPC endpoints per VPC exceeded."

Per risolvere il problema, richiedi un aumento della quota di servizio.

Hai creato un endpoint Amazon VPC dall'account partecipante in un Amazon VPC condiviso

Nota: gli account partecipanti non possono creare endpoint di interfaccia in una sottorete condivisa. Tuttavia, se un account partecipante configura un servizio supportato nella sottorete condivisa del VPC, quel servizio crea un endpoint di interfaccia nella sottorete condivisa.

Se crei un endpoint dall'account AWS partecipante, si verifica il seguente errore:

"errorCode": "Client.UnauthorizedOperation"

"errorMessage": "This operation does not support shared VPCs."

Esegui il comando describe-subnets per verificare la proprietà della sottorete e controllare il SubnetArn:

aws ec2 describe-subnets --subnet-ids example-subnet-id

Nota: sostituisci example-subnet-id con l'ID della tua sottorete.

Per risolvere l’errore, crea l'endpoint dall'account proprietario di Amazon VPC. Per ulteriori informazioni, consulta Condividere le sottoreti VPC con altri account.

Hai creato un endpoint Amazon VPC dall'account proprietario con un gruppo di sicurezza di proprietà dell'account partecipante in un Amazon VPC condiviso

Se crei un endpoint dall'account proprietario con un gruppo di sicurezza di proprietà dell'account partecipante, si verifica il seguente errore:

"errorCode": "Client.InvalidParameter",

"errorMessage": "You are not authorized to perform CreateNetworkInterface operation. A subnet in this vpc is shared but the provided object is not owned by you"

Esegui il comando describe-security-groups per verificare l'OwnerId del gruppo di sicurezza:

aws ec2 describe-security-groups --group-id security-group-id

Nota: sostituisci security-group-id con l'ID del tuo gruppo di sicurezza.

Per risolvere l'errore, utilizza un gruppo di sicurezza di proprietà dello stesso account dell'account proprietario.

L'API sta subendo una limitazione (della larghezza di banda della rete)

Se le chiamate API subiscono una limitazione (della larghezza di banda della rete), nell'evento di CloudTrail si verifica il seguente errore:

"errorCode": "Client.RequestLimitExceeded",

"errorMessage": "Request limit exceeded."

Per risolvere l'errore, intraprendi le seguenti azioni:

• Ritenta la richiesta API che ha dato esito negativo con il meccanismo di backoff.
• Elabora più risorse.
• Aumenta l'intervallo di inattività tra le richieste per ridurne la frequenza.
  Nota: è consigliabile utilizzare un intervallo di inattività crescente o variabile.

Per ulteriori informazioni, consulta Limitazione (della larghezza di banda della rete) delle richieste per l'API Amazon Elastic Compute Cloud (Amazon EC2).

I namespace DNS privati si sovrappongono

Se i namespace DNS privati si sovrappongono, nell'evento di CloudTrail si verifica il seguente errore:

"errorCode": "Client.InvalidParameter",

"errorMessage": "private-dns-enabled cannot be set because there is already a conflicting DNS domain for in VPC "

L'errore è causato dai seguenti problemi:

• È presente un endpoint di interfaccia esistente con il DNS privato per lo stesso servizio in Amazon VPC.
• Ad Amazon VPC è associata una zona ospitata privata con lo stesso nome di servizio.

Per risolvere l'errore, disattiva PrivateDNSEnabled quando crei l'endpoint e utilizza il DNS predefinito dell'endpoint Amazon VPC. Per gli Amazon VPC con zone private ospitate che hanno namespace sovrapposti, crea manualmente un record ALIAS con il DNS predefinito dell'endpoint Amazon VPC.

Una zona ospitata privata di Amazon Route 53 associata ad Amazon VPC può trovarsi in un account diverso. Per visualizzare i dettagli su tutte le associazioni di zone ospitate private, esegui il comando list-hosted-zones-by-vpc:

aws route53 list-hosted-zones-by-vpc --vpc-id example-vpc-ID --vpc-region example-region

Nota: sostituisci example-vpc-ID con l'ID del tuo VPC e example-region con la tua Regione AWS.

Autorizzazioni IAM insufficienti

Se non hai autorizzazioni IAM sufficienti quando crei un endpoint Amazon VPC, ricevi un errore "AccessDenied". Per risolvere l'errore, rivedi le autorizzazioni del ruolo IAM che effettua la chiamata API. Quindi aggiorna il ruolo IAM con le autorizzazioni richieste.

Informazioni correlate

Responsabilità e autorizzazioni per proprietari e partecipanti

Quote di Amazon VPC