Amazon MWAA 環境が「Creating」(作成中) 状態のままになっている場合のトラブルシューティング方法を教えてください。

解決方法

トラブルシューティングスクリプトを実行して、必要な AWS Identity and Access Management (IAM) ロール許可や Amazon Virtual Private Cloud (Amazon VPC) のセットアップなど、Amazon MWAA 環境の前提条件が満たされていることを確認します。詳細については、GitHub の AWS Support Tools にある Verify environment (環境の検証) スクリプトを参照してください。

Amazon MWAA 環境が短時間で「Creating」(作成中) 状態のままになっている場合は、Amazon Simple Storage Service (Amazon S3)、Amazon CloudWatch、Amazon Simple Queue Service (Amazon SQS)、Amazon Elastic Container Registry (Amazon ECR)、および AWS Key Management Service (AWS KMS) など、その他の AWS のサービスの IAM 許可が不足していることが原因である可能性があります。実行ロールとサービスにリンクされたロールに、必要なアクセス許可があることを確認してください。カスタマーマネージドキーを使用している場合は、カスタマーマネージドキーポリシーも必ず更新してください。トラブルシューティングのステップについては、「環境を作成しようとしましたが、ステータスが『Create failed』と表示されています」を参照してください。

環境が「Creating」(作成中) 状態で 30 分以上停止している場合、問題はネットワーク構成に関連している可能性があります。問題の根本原因と適切な解決方法は、ネットワーク設定によって異なります。

ネットワーク設定に AWS のサービスまたはインターネットへのルートがありません。

この問題を解決するには、選択したルーティングのタイプに基づいて、ネットワーク構成が環境のそれぞれの前提条件を満たしていることを確認します。

• パブリックルーティング: Amazon VPC インフラストラクチャに 2 つのパブリックサブネットと 2 つのプライベートサブネットがあることを確認してください。パブリックサブネットは、パブリック IP アドレスを取得し、インターネットゲートウェイへのデフォルトルートがあります。プライベートサブネットは、プライベート IP アドレスのみを取得し、インターネットゲートウェイへのルートはありません。代わりに、NAT ゲートウェイへのルートがあります。詳細については、「インターネット経由のパブリックルーティング」を参照してください。通常、パブリックルーティングを使用するネットワークフローは次のようになります。
  プライベートサブネット - NAT ゲートウェイへのデフォルトルート - パブリックサブネットに関連付けられた NAT ゲートウェイ - パブリックサブネット - インターネットゲートウェイへのデフォルトルート - インターネット
• プライベートルーティング: インターネットにアクセスできない Amazon VPC では、MWAA で Apache Airflow を使用するには、追加の VPC サービスエンドポイントが必要です。これらの Amazon VPC エンドポイントには、Simple Storage Service (Amazon S3)、モニタリング、ecr.dkr、ecr.api、ログ、sqs、kms、airflow.api、airflow.env、airflow.ops が含まれます。詳細については、「プライベートルーティングを使用した Amazon VPC に必要な VPC サービスエンドポイントを作成する」および「インターネットにアクセスできないプライベートルーティング」を参照してください。VPC エンドポイントでプライベート DNS が有効になっていることを確認します。エンドポイントが環境のサブネットとセキュリティグループに関連付けられていることを確認します。また、各エンドポイントの VPC エンドポイントポリシーが、エンドポイントへのアクセスをすべて許可するように設定されていることを確認してください。

セキュリティグループまたはネットワークアクセスコントロールリスト (ACL) が、ネットワークトラフィックを制限します

この問題を解決するには、セキュリティグループがそれ自身またはポート範囲である HTTPS 443 と TCP 5432 に対する自己参照インバウンドルールを指定していることを確認します。セキュリティグループは、すべてのトラフィックに対してアウトバウンドルールを指定する必要があります。ネットワーク ACL には、すべてのトラフィックを許可するインバウンドルールまたはアウトバウンドルールが必要です。例については、ACL の例を参照してください。

Amazon ECR からのコンテナイメージのダウンロードに失敗しました

インターネットにアクセスできない Amazon VPC を使用する場合は、既に Simple Storage Service (Amazon S3) ゲートウェイエンドポイントを作成し、そのリージョンの Simple Storage Service (Amazon S3) にアクセスするために最低限必要なアクセス許可を Amazon ECR に付与していることを確認してください。

パブリックルーティングもしくはプライベートルーティングを使用した Amazon VPC ネットワークに関連する問題のトラブルシューティングについては、「環境を作成しようとしましたが、『Creating』(作成中) 状態のままになります」を参照してください。

---

関連情報

Amazon MWAA でのネットワークについて