为什么我的 AWS OpsWorks Stacks 实例无法启动并卡在“start_failed”状态？

简短描述

由于各种原因，在设置生命周期事件期间，OpsWorks Stacks 实例可能会进入 start_failed 状态且无法启动。但是，该问题通常是由网络问题导致的。

要对该问题进行故障排除，请首先验证您的 EC2 实例是否可以连接到 OpsWorks Stacks 服务。如果无法连接，请参阅本文中的“如果您的 EC2 实例无法连接到 OpsWorks Stacks 服务”部分。如果可以连接，请参阅本文中的“如果您的 EC2 实例可以连接到 OpsWorks Stacks 服务”部分。

**注意：**对于卡在 setup_failed 状态的实例，请参阅“为什么我的 AWS OpsWorks Stacks 实例无法启动并卡在“setup_failed”状态？”

解决方法

验证您的 EC2 实例是否可以连接到 OpsWorks Stacks 服务

1.登录您的 Amazon EC2 实例。

2.通过使用 Linux 命令行界面 (CLI) 运行以下 netcat (nc) 命令，向该实例关联的 OpsWorks 端点发送测试请求：

**重要事项：**请将 opsworks.us-east-1.amazonaws.com 替换为您当前使用的 OpsWorks Stacks 端点。

nc -vz opsworks.us-east-1.amazonaws.com 443

如果您的 EC2 实例可以连接到 OpsWorks Stacks 服务，则命令输出将类似于以下内容：

Ncat: Connected to <ipaddress>

**注意：**如果您的 EC2 实例上未安装 netcat，请通过运行以下命令在该实例上手动安装 netcat 软件包：

sudo yum install -y nc

如果您的 EC2 实例无法连接到 OpsWorks Stacks 服务

• 确认您的实例可以通过互联网网关、网络地址转换 (NAT) 网关、NAT 实例或 VPC 端点访问互联网。
• 确认允许在实例、安全组和网络访问控制列表（网络 ACL）级别，通过端口 443 进行入站 HTTPS 访问。
• 查看该层的网络设置，以确认 Public IP addresses（公共 IP 地址）和 Elastic IP addresses（弹性 IP 地址）设置已配置为 Yes（是）。

如果 NAT 网关向您的 EC2 实例提供互联网访问权限

按照为什么我的 EC2 实例无法使用 NAT 网关访问互联网？中的说明进行操作

如果互联网网关向您的 EC2 实例提供互联网访问权限

按照为什么我的 EC2 实例无法使用互联网网关连接到互联网？中的说明进行操作

如果 NAT 实例向您的 EC2 实例提供互联网访问权限

打开 EC2 控制台，然后确认以下内容：

• NAT 实例处于正在运行状态。
  注意：如果 NAT 实例未处于正在运行状态，请将状态更改为正在运行。
• NAT 实例正在通过运行状况检查。
  **注意：**如果 NAT 实例未通过运行状况检查，请执行以下操作： 创建新的 NAT 实例。然后，将新的 NAT 实例与 NAT 实例路由表中的 EC2 实例相关联。
• EC2 实例位于默认的 Amazon Virtual Private Cloud (Amazon VPC) 中。
  **注意：**如果由 OpsWorks Stacks 管理的 EC2 实例在默认的 Amazon VPC 之外启动，则它始终会进入 start_failed 状态。

有关详细信息，请参阅查看状态检查。

如果 VPC 端点向您的 EC2 实例提供互联网访问权限

• 通过执行以下操作，验证您的 VPC 端点是否正确，且在您使用的 Amazon VPC 内是否可访问：
  打开 Amazon VPC 控制台。
  在导航窗格中的 Virtual Private Cloud 下，选择 Endpoints（端点）。
  然后，查看与您的 EC2 实例关联的 VPC 端点，以确保它们正确且可访问。
• 验证您的 VPC 端点是否可以从 Amazon Simple Storage Service (Amazon S3) 完成所需的操作。

如果您的 EC2 实例可以连接到 OpsWorks Stacks 服务

检查 EC2 实例的 IAM 权限

验证实例配置文件的 AWS Identity and Access Management (IAM) 角色是否存在并包含所有必需的权限。

如果实例配置文件没有 IAM 角色，请执行以下操作：

1.停止实例。

2.通过执行以下操作，将实例配置文件角色与 EC2 实例分离：
在 EC2 控制台中，选择 Instances（实例）。然后，选择您的 EC2 实例。
依次选择 Actions（操作）选项卡、Security（安全），然后选择 Modify IAM role（修改 IAM 角色）。
选择 No IAM Role（无 IAM 角色）。然后，选择 Save（保存）。

3.使用现有 EC2 实例替换实例配置文件。
-或-
在 OpsWorks Stacks 中替换 EC2 实例。

**注意：**有关如何在 OpsWorks Stacks 中替换 EC2 实例的详细信息，请参阅将实例添加到层。

对于由 Amazon Elastic Block Store (Amazon EBS) 支持的 EC2 实例，请验证该实例的根设备容量是否未满

有关说明，请参阅查看 Linux 的可用磁盘空间或查看 Windows 的可用磁盘空间。

验证 EC2 实例是否使用的是 IMDSv1

要检查您的实例所使用的元数据服务，并在需要时重新配置该实例，请参阅配置实例元数据选项。

**注意：**OpsWorks Stacks 仅支持实例元数据服务版本 1 (IMDSv1)，不支持 IMDSv2。

对于由自定义 AMI 支持的 EC2 实例，请验证 AMI 配置是否正确

有关详细信息，请参阅从 AWS OpsWorks Stacks 实例创建自定义 Linux 亚马逊机器映像 (AMI)。

验证安装在 EC2 实例上的 OpsWorks Stacks 代理是否正在运行

1.登录您的 Amazon EC2 实例。

2.通过在 Linux CLI 上运行以下命令，验证安装在 EC2 实例上的 OpsWorks Stacks 代理是否正在运行：

sudo service opsworks-agent status

如果 OpsWorks Stacks 代理正在运行，则命令输出将类似于以下内容：

Active: active (running)

如果 OpsWorks Stacks 代理未在运行，则命令输出将类似于以下内容：

Active: inactive (dead)

如果 OpsWorks Stacks 代理未在运行，请通过运行以下命令启动该代理：

sudo service opsworks-agent start

检查您的 EC2 实例的 CloudTrail 日志中是存在“Client.UnauthorizedOperation”错误

查看在 AWS CloudTrail 中记录的 OpsWorks Stacks 实例的 API 调用。查找返回以下错误消息的 EC2 RunInstances 事件： Client.UnauthorizedOperation。

如果错误消息出现在您的实例的 CloudTrail 中，请参阅以下文章： 如何对尝试使用 AWS Backup 恢复 Amazon EC2 实例时出现的编码授权失败消息进行故障排除？

如果您的 EC2 实例被分配给多个层，请确保每一层都具有相同的网络设置

有关详细信息，请参阅将实例添加到层。

---