Como soluciono problemas ao usar o EC2 Connect para me conectar à minha instância do EC2?

Breve descrição

A seguir estão os motivos comuns pelos quais você pode receber um erro ao usar o EC2 Instance Connect para se conectar à sua instância:

• O EC2 Instance Connect não oferece suporte à distribuição do sistema operacional (OS).
• O pacote do EC2 Instance Connect não está instalado na instância.
• Há políticas ou permissões do AWS Identity and Access Management (IAM) ausentes ou incorretas.
• Os grupos de segurança associados à instância não listam os endereços IP do serviço EC2 Instance Connect.
• O acesso ou a configuração da rede estão incorretos.

Para determinar a causa da falha na conexão, você pode usar o runbook de automação AWSSupport-TroubleshootEC2InstanceConnect do AWS Systems Manager. Para obter informações sobre fluxos de trabalho de automação, consulte Fluxos de trabalho de automação do AWS Support (SAW) e Configuração da automação.

Você também pode solucionar problemas manualmente em sua instância do EC2.

Resolução

Pré-requisito: Se sua instância não tiver um endereço IP público, você deverá estabelecer conectividade de rede privada com sua nuvem privada virtual (VPC). Para estabelecer conectividade de rede privada com sua VPC, use o AWS Direct Connect, o AWS Site-to-Site VPN ou o peering de VPC. Se sua instância não tiver um endereço IPv4 público e sua VPC não tiver uma configuração de conectividade de rede privada, use o EC2 Instance Connect Endpoint.

Observação: se você ativou o console de série do EC2 para instâncias Linux, use o console de série para solucionar problemas de tipos de instância baseados em Nitro. Se você não conseguir acessar sua instância e não tiver configurado o acesso ao console de série, consulte Configurar o acesso ao Console de Série do EC2.

Use o runbook para solucionar problemas da sua instância do EC2

Antes de iniciar o runbook AWSSupport-TroubleshootEC2InstanceConnect, certifique-se de que seu usuário ou perfil do IAM tenha as permissões necessárias. Para obter mais informações, consulte a seção Permissões do IAM necessárias do AWSSupport-TroubleshootEC2InstanceConnect.

Para rodar o runbook, conclua as seguintes etapas:

1. Abra o console do Systems Manager.
2. No painel de navegação, escolha Recursos compartilhados e, em seguida, escolha Documentos.
3. Escolha Documentos de automação.
4. No campo de pesquisa, digite AWSSupport-TroubleshootEC2InstanceConnect e selecione o documento.
5. Selecione Executar automação.
6. Insira os seguintes valores para os parâmetros de entrada:
   Em InstanceId, insira o ID da instância à qual você não consegue se conectar.
   (Opcional) Em AutomationAssumeRole, insira o ARN do perfil do IAM que permite que o Systems Manager Automation execute as ações em seu nome. Se você não especificar um perfil, o Systems Manager Automation usará as permissões do usuário que executa o runbook.
   Em Username, insira o nome de usuário que você usa para se conectar à instância. Esse parâmetro determina se o acesso ao IAM é concedido ao usuário.
   Em EC2InstanceConnectRoleOrUser, insira o ARN da identidade do IAM que é usada pelo EC2 Instance Connect para enviar as chaves para a instância.
   (Opcional) Em SSHPort, insira a porta SSH que está configurada na instância. O valor padrão é 22 e o número da porta deve estar entre 1 e 65535.
   (Opcional) Em SourceNetworkType, insira o tipo de rede que você usa para se conectar à instância.
   (Opcional) Em SourceIpCIDR, insira o intervalo Classless Inter-Domain Routing (CIDR) que inclui o endereço IP do dispositivo que você usa para se conectar ao EC2 Instance Connect. Se esse campo estiver vazio, o runbook não poderá determinar se as regras do grupo de segurança e da lista de controle de acesso à rede (ACL) da instância permitem tráfego SSH.
7. Selecione Executar.
8. Analise os resultados detalhados na seção Saídas.

Solucione problemas manualmente em sua instância do EC2

Para solucionar problemas ao se conectar à sua instância do EC2, confirme as seguintes configurações:

• O EC2 Instance Connect oferece suporte à distribuição Linux da sua instância.
• Você instalou o pacote EC2 Instance Connect em sua instância compatível.
• O usuário do IAM que deseja usar o EC2 Instance Connect tem permissão para enviar a chave pública para a instância.
• As regras do grupo de segurança da instância listam os endereços IP do EC2 Instance Connect.
• Você tem acesso à rede da sua instância.

Use conexões SSH baseadas em navegador

As conexões SSH baseadas em navegador exigem que as regras de entrada do grupo de segurança da instância permitam que o EC2 Instance Connect acesse o SSH na porta TCP 22.

O EC2 Instance Connect usa intervalos de endereços IP específicos para conexões SSH baseadas em navegador com sua instância. Os intervalos de endereços IP da AWS diferem entre as regiões AWS. Para encontrar o intervalo de endereços IP do EC2 Instance Connect em uma região específica, execute os seguintes comandos.

Observação: nos comandos a seguir, substitua us-east-1 pela região em que sua instância está. Certifique-se de que sua instância esteja em uma região compatível com o EC2 Instance Connect.

Windows

Use o Windows PowerShell para executar o seguinte comando:

PS C:\> Get-AWSPublicIpAddressRange -Region us-east-1 -ServiceKey EC2_INSTANCE_CONNECT | select IpPrefix

Linux

Use curl e jq para executar o seguinte comando:

$ curl -s https://ip-ranges.amazonaws.com/ip-ranges.json | jq -r '.prefixes[] | select(.region=="us-east-1") | select(.service=="EC2_INSTANCE_CONNECT") | .ip_prefix'

Atualize as regras de entrada do seu grupo de segurança para permitir o acesso à porta TCP 22 a partir do intervalo de endereços IP retornado pelos comandos anteriores.

Use a conexão CLI do EC2 Instance Connect

Atualize as regras de entrada do seu grupo de segurança para permitir o acesso à porta TCP 22 a partir do seu endereço IP.

Informações relacionadas

Execute uma operação automatizada com a tecnologia Systems Manager Automation

Conecte-se à sua instância do Linux usando o EC2 Instance Connect

Como faço para me conectar à minha instância do Amazon EC2 se eu perder meu par de chaves SSH após a execução da instância?

Como posso solucionar problemas de conexão com minha instância Linux do Amazon EC2 usando SSH?