セッションマネージャーにてCloudWatchを有効にするとEC2へ接続されるまでの時間が長い

Question

セッションマネージャを使用し、EC2への接続を行っていますが、
セッションマネージャーの設定画面にて、CloudWatchを有効とすると、
セッションマネージャーからEC2へ接続されるまでの時間が長く(5分ぐらいかかる)、
かつ、CloudWatchを有効にしたときに指定するロググループへの記録が行われていない状態です。
(CloudWatchを無効に変更を行った場合は、接続までの時間は短いです)

VPCエンドポイントや、EC2のIAMロールにて何かが不足しているのかと思うのですが、
手がかりが判らず、ご教示いただけると助かります。

●EC2に割り当てたロール
・AmazonSSMManagedInstanceCore
・CloudWatchAgentServerPolicy
・下記カスタマインライン

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:リージョン:AWSアカウント:log-group:ロググループ名:*"
            ]
        }
    ]
}

● VPCエンドポイント
com.amazonaws.ap-northeast-1.ssm
com.amazonaws.ap-northeast-1.ec2messages
com.amazonaws.ap-northeast-1.ssmmessages
com.amazonaws.ap-northeast-1.s3 (Gateway)

re:Post Agent · Accepted Answer

セッションマネージャーでCloudWatchを有効にした際の接続遅延と、ログが記録されない問題について、いくつかの点を確認する必要があります。

1. IAMロールの権限:
現在のIAMロール設定は基本的に適切ですが、CloudWatchLogsへの完全なアクセス権限が不足している可能性があります。AmazonSSMFullAccessポリシーを追加するか、以下の権限を含むカスタムポリシーを作成することを検討してください：

- cloudwatch:PutMetricData
- logs:CreateLogStream
- logs:PutLogEvents
- logs:DescribeLogGroups
- logs:DescribeLogStreams

2. VPCエンドポイント:
CloudWatchLogsへのエンドポイントが不足しています。以下のエンドポイントを追加してください：

- com.amazonaws.ap-northeast-1.logs

3. ネットワーク設定:
セキュリティグループとネットワークACLが、EC2インスタンスからCloudWatchLogsエンドポイントへの通信を許可していることを確認してください。

4. CloudWatchエージェントの設定:
EC2インスタンス上でCloudWatchエージェントが正しく設定され、実行されていることを確認してください。エージェントのログを確認し、エラーがないか調べてください。

5. ロググループの設定:
指定したロググループが存在し、適切な権限が設定されていることを確認してください。必要に応じて、手動でロググループを作成してみてください。

6. リソース制限:
CloudWatchLogsのPutLogEventsアクションに対するスロットリングが発生していないか確認してください。必要に応じて、制限緩和をリクエストすることを検討してください。

これらの点を確認し、必要な修正を行うことで、接続の遅延問題とログ記録の問題が解決される可能性が高いです。問題が解決しない場合は、CloudWatchLogsのエラーメッセージやEC2インスタンスのシステムログを詳細に調査する必要があるかもしれません。  
**Sources**  
[AmazonSSMFullAccess - AWS Managed Policy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonSSMFullAccess.html)  
[Resolve empty log issues in CloudWatch | AWS re:Post](https://repost.aws/knowledge-center/cloudwatch-empty-logs)  
[CloudWatchApplicationSignalsFullAccess - AWS Managed Policy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudWatchApplicationSignalsFullAccess.html)

セッションマネージャーにてCloudWatchを有効にするとEC2へ接続されるまでの時間が長い

回答を追加する

関連するコンテンツ