¿Por qué Amazon Inspector no analiza mis instancias de Amazon EC2?

Descripción corta

Es posible que Amazon Inspector no analice las instancias de EC2 por los siguientes motivos:

• AWS Systems Manager Agent (SSM Agent) no está actualizado.
• La instancia de EC2 no está en estado de ejecución.
• El sistema operativo (SO) no es compatible.
• La instancia no está conectada a AWS Systems Manager.
• Amazon Inspector no está asociado a Systems Manager.

Puedes usar el panel de Amazon Inspector para supervisar el estado de las instancias. Para obtener más información, consulta Análisis de instancias de Amazon EC2 con Amazon Inspector.

Resolución

Actualización de la versión de SSM Agent

Para analizar instancias, SSM Agent debe estar ejecutándose en Amazon Inspector. Si tienes una versión anterior de SSM Agent, se recomienda actualizarla. También se recomienda configurar Systems Manager para que actualice automáticamente SSM Agent.

Para actualizar manualmente SSM Agent, suscríbete a las notificaciones de SSM Agent. A continuación, utiliza el comando de ejecución para actualizar SSM Agent. También puedes suscribirte a las notas de la versión de SSM Agent en el sitio web de GitHub.

Reinicio de la instancia

Obtienes el estado Instancia de EC2 detenida porque la instancia está detenida, por lo que Amazon Inspector ha puesto en pausa el análisis. Amazon Inspector conserva los resultados de los análisis anteriores cuando se detiene la instancia de EC2. Para volver a iniciar el análisis, reinicia la instancia de EC2.

Amazon Inspector analiza en función de los intervalos que hayas establecido en las asociaciones de Systems Manager. Puedes modificar los intervalos de análisis para las instancias de Linux y las instancias de Windows.

Comprobar que Amazon Inspector sea compatible con el sistema operativo

Obtienes el estado Sistema operativo no compatible cuando la instancia utiliza un sistema operativo (SO) o una arquitectura que Amazon Inspector no admite.

Para comprobar la versión de Linux, ejecuta el siguiente comando:

cat /etc/os-releaselsb_release -a
hostnamectl

Para Windows, busca Información del sistema y, a continuación, ábrela.

Para determinar si Amazon Inspector es compatible con tu sistema operativo, consulta la lista de sistemas operativos compatibles para analizar instancias.

Confirmar que la instancia esté conectada a Systems Manager

Si la instancia no aparece en la consola de Systems Manager, ejecuta el runbook AWSSupport-TroubleshootManagedInstance para identificar los problemas de configuración de Systems Manager. Para obtener más información, consulta ¿Por qué Systems Manager no muestra mi instancia de Amazon EC2 como una instancia administrada?

Para comprobar la conexión de la instancia con Systems Manager, sigue estos pasos:

1. Abre la consola de Systems Manager en la misma región de AWS que Amazon Inspector y tu instancia.
2. Elige Administrador de flotas.
3. En los nodos administrados, comprueba el estado del ping de SSM Agent. Si el estado es En línea, la instancia está conectada a SSM Agent.

Si el estado del ping de SSM Agent es Conexión perdida, asegúrate de que la instancia cumple los requisitos previos de Systems Manager. Si usas SSM Agent versión 3.1.501.0 o posterior, puedes ejecutar la línea de comandos ssm-cli para determinar el problema y solucionarlo.

Comprobar si Amazon Inspector está asociado a Systems Manager

Para recopilar el inventario de aplicaciones de software, Amazon Inspector requiere una asociación a State Manager, una función de Systems Manager, en tu cuenta de AWS. Cuando Amazon Inspector no encuentra el inventario de aplicaciones de software para analizar la instancia, aparece el estado Sin inventario.

Para comprobar si Amazon Inspector y State Manager están asociados, sigue estos pasos:

1. Abre la consola de Systems Manager en la misma región que Amazon Inspector y tu instancia.
2. Elige State Manager.
3. En Asociaciones, comprueba que la asociación InspectorInventoryCollection-do-not-delete existe y que el estado es correcto.
4. Si la asociación InspectorInventoryCollection-do-not-delete no existe, ejecuta el documento de SSM AWS-GatherSoftwareInventory en todas las instancias. Elige el ID de asociación de la instancia que no se ha analizado y, a continuación, elige la pestaña Historial de ejecución para obtener más información.
5. Si el estado de asociación de InspectorInventoryCollection-do-not-delete es Error, selecciona el ID de la asociación. A continuación, selecciona Aplicar asociación ahora.
6. Vuelve a comprobar el estado de la asociación InspectorInventoryCollection-do-not-delete para confirmar que ha cambiado de Error a Correcto.

El complemento SSM de Amazon Inspector para Windows se instala automáticamente en las instancias de Windows. Al activar el análisis de EC2, Amazon Inspector crea nuevas asociaciones de SSM para tus recursos de Windows. Las asociaciones de SSM incluyen InspectorDistributor-do-not-delete, InspectorInventoryCollection-do-not-delete y InvokeInspectorSsmPlugin-do-not-delete. Si el estado de las asociaciones es Error, vuelve a solicitar la asociación. Si el archivo InspectorSsmPlugin.exe no existe, la asociación de SSM InspectorDistributor-do-not-delete reinstalará automáticamente el complemento durante el siguiente análisis de Windows. Para obtener más información, consulta Análisis de instancias de Amazon EC2 con Amazon Inspector.

Comprobar que el nodo existe en la aplicación de software

Sigue estos pasos:

1. Abre la consola de Systems Manager en la misma región que Amazon Inspector y tu instancia.
2. Elige Administrador de flotas.
3. En Nodos administrados, elige tu ID de nodo. A continuación, elige la pestaña Inventario para comprobar si hay aplicaciones de software en el inventario de tu instancia.

Se recomienda establecer la tasa de recopilación de inventario para que se ejecute cada 30 minutos. Para optimizar la recopilación de inventario, edita la asociación InspectorInventoryCollection-do-not-delete y, a continuaciónestablece la tasa de expresión cron en 30 minutos.

Información relacionada

Evaluación de la cobertura de Amazon Inspector en el entorno de AWS

¿Cómo configuro Amazon Inspector Classic para ejecutar evaluaciones de seguridad en mis instancias de Amazon EC2?