Amazon EC2 インスタンスで AWS CLI コマンドを実行できない原因を教えてください。

所要時間2分

Amazon Elastic Compute Cloud (Amazon EC2) インスタンスで AWS コマンドラインインターフェイス (AWS CLI) コマンドを実行すると、エラーが表示されます。

簡単な説明

EC2 インスタンスで AWS CLI コマンドを実行すると、次の例のようなエラーメッセージが表示される場合があります。

"Unable to locate credentials.You can configure credentials by running 'aws configure'"
"An error occurred (UnauthorizedOperation) when calling the DescribeInstances operation: You are not authorized to perform this operation"
注: エラーメッセージから、失敗した API コールを特定します。上記の例では、DescribeInstances API コールでエラーが発生しました。
"An error occurred (AuthFailure) when calling the DescribeInstances operation: AWS was not able to validate the provided access credentials"
"An error occurred (ExpiredToken) when calling the GetCallerIdentity operation: The security token included in the request is expired"

これらの問題をトラブルシューティングするには、発生したエラーに応じて次の手順を実行します。

注: AWS PrivateLink を使用してインスタンスに接続する場合は、サービスの仮想プライベートクラウド (VPC) エンドポイントにアクセスできることを確認してください。プライベートサブネットにあるインスタンスの詳細については、「Amazon VPC エンドポイントを作成することで、インターネットへのアクセスを必要とせずに、Systems Manager を使用してプライベート Amazon EC2 インスタンスを管理できるようにする方法を教えてください」を参照してください。

注: AWS CLI コマンドの実行時にエラーが発生する場合は、「AWS CLI のエラーのトラブルシューティング」を参照してください。また、AWS CLI の最新バージョンを使用していることを確認してください。

次の list コマンドを実行して、AWS CLI が認証情報を取得できるかどうかを確認します。

aws configure list

出力に認証情報が含まれていない場合は、AWS CLI の認証情報を設定します。

AWS Identity and Access Management (IAM) インスタンスプロファイルを使用する場合は、IAM ロールの関連付けが完了していることを確認してください。ロールが表示されていることを確認するには、次の get-caller-identity コマンドを実行します。

aws sts get-caller-identity

出力にインスタンスプロファイルロールが含まれていない場合は、インスタンスロールをインスタンスプロファイルに再アタッチします。

次の操作を実行します。

IAM ロールまたは IAM ユーザーにコマンドを実行するアクセス許可があることを確認します。
インスタンスの時刻が正しいことを確認します。
AWS Security Token Service (AWS STS) トークンを正しく設定したことを確認します。
コマンドの実行時に正しい認証情報を使用したことを確認します。使用している認証情報を確認するには、次の get-caller-identity コマンドを実行します。
```
aws sts get-caller-identity
```
注: インスタンスが複数の認証情報セットを使用する場合、認証情報の優先順位は、インスタンスが API コールを行うために使用する認証情報に影響する可能性があります。詳細については、「Amazon EC2 インスタンスがロール認証情報の代わりに IAM ユーザー認証情報を使用しているのはなぜですか?」を参照してください。

一時的な認証情報を使用する場合、作成時に指定した時間間隔で有効期限が切れます。IAM ロールの認証情報の有効期限が切れた後に新しい STS トークンを取得するには、新しい IAM ロールを引き受けてください。