Problem RunBooks

Der folgende Abschnitt enthält Probleme, die auftreten können, deren Erkennung und Vorschläge zur Behebung des Problems.

Probleme bei der Installation

........................

CloudFormation Der Stapel kann nicht erstellt werden und die Meldung "WaitCondition hat eine fehlgeschlagene Nachricht erhalten. Error:States.TaskFailed“

Um das Problem zu identifizieren, untersuchen Sie die Amazon CloudWatch Amazon-Protokollgruppe<stack-name>-InstallerTasksCreateTaskDefCreateContainerLogGroup<nonce>-<nonce>. Wenn es mehrere Protokollgruppen mit demselben Namen gibt, überprüfen Sie die erste verfügbare. Eine Fehlermeldung in den Protokollen enthält weitere Informationen zu dem Problem.

........................

E-Mail-Benachrichtigung wurde nicht empfangen, nachdem CloudFormation Stacks erfolgreich erstellt wurden

Wenn nach der erfolgreichen Erstellung der CloudFormation Stacks keine E-Mail-Einladung empfangen wurde, überprüfen Sie Folgendes:

........................

Instanzen laufen oder der VDC-Controller befindet sich im ausgefallenen Zustand

Die wahrscheinlichste Ursache für dieses Problem ist die Unfähigkeit der Ressource (n), eine Verbindung zum Active Directory herzustellen oder diesem beizutreten.

Wenn der Status inaktiv oder ausgefallen ist oder Sie Fehler in den Protokollen sehen, konnte die Instanz Active Directory nicht beitreten.

SSM-Fehlerprotokoll

Das Problem könnte eine von drei möglichen Ursachen haben.

+ local AD_AUTHORIZATION_ENTRY=
+ [[ -z '' ]]
+ [[ 0 -le 180 ]]
+ local SLEEP_TIME=34
+ log_info '(0 of 180) waiting for AD authorization, retrying in 34 seconds ...'
++ date '+%Y-%m-%d %H:%M:%S,%3N'
+ echo '[2024-01-16 22:02:19,802] [INFO] (0 of 180) waiting for AD authorization, retrying in 34 seconds ...'
[2024-01-16 22:02:19,802] [INFO] (0 of 180) waiting for AD authorization, retrying in 34 seconds ...
+ sleep 34
+ (( ATTEMPT_COUNT++ ))

........................

Der CloudFormation Umgebungsstapel kann aufgrund eines Fehlers beim abhängigen Objekt nicht gelöscht werden

Wenn das Löschen des <env-name>-vdc CloudFormation Stacks aufgrund eines Fehlers bei einem abhängigen Objekt wie dem fehlschlägtvdcdcvhostsecuritygroup, könnte dies an einer Amazon EC2 EC2-Instance liegen, die mithilfe der Konsole in einem RES-created Subnetz oder einer Sicherheitsgruppe gestartet wurde. AWS

Um das Problem zu lösen, suchen und beenden Sie alle Amazon EC2 EC2-Instances, die auf diese Weise gestartet wurden. Anschließend können Sie mit dem Löschen der Umgebung fortfahren.

........................

Bei der Erstellung der Umgebung ist ein Fehler für den CIDR-Blockparameter aufgetreten

Beim Erstellen einer Umgebung wird ein Fehler für den CIDR-Blockparameter mit dem Antwortstatus [FAILED] angezeigt.

Beispiel für einen Fehler:

Failed to update cluster prefix list: 
        An error occurred (InvalidParameterValue) when calling the ModifyManagedPrefixList operation: 
        The specified CIDR (52.94.133.132/24) is not valid. For example, specify a CIDR in the following form: 10.0.0.0/16.

Um das Problem zu lösen, ist das erwartete Format x.x.x. 0/24 oder x.x.x. 0/32

........................

CloudFormation Fehler bei der Stapelerstellung während der Umgebungserstellung

Das Erstellen einer Umgebung umfasst eine Reihe von Vorgängen zur Erstellung von Ressourcen. In einigen Regionen kann ein Kapazitätsproblem auftreten, das dazu führt, dass die CloudFormation Stack-Erstellung fehlschlägt.

Wenn dies der Fall ist, löschen Sie die Umgebung und versuchen Sie erneut, sie zu erstellen. Alternativ können Sie die Erstellung in einer anderen Region wiederholen.

........................

Die Erstellung eines Stacks für externe Ressourcen (Demo) schlägt mit AdDomainAdminNode CREATE_FAILED fehl

Wenn die Erstellung des Demo-Umgebungsstapels mit dem folgenden Fehler fehlschlägt, kann dies daran liegen, dass Amazon EC2-Patches während der Bereitstellung nach dem Start der Instance unerwartet ausgeführt wurden.

AdDomainAdminNode CREATE_FAILED  Failed to receive 1 resource signal(s) within the specified duration

Wenn das Problem durch das Patchen verursacht wurde, verzögern Sie das Patchen für die RES-Instances mindestens 15 Minuten nach dem Start.

........................

Probleme mit der Identitätsverwaltung

Die meisten Probleme mit Single Sign-On (SSO) und Identitätsmanagement treten aufgrund von Fehlkonfigurationen auf. Informationen zur Einrichtung Ihrer SSO-Konfiguration finden Sie unter:

Informationen zur Behebung anderer Probleme im Zusammenhang mit der Identitätsverwaltung finden Sie in den folgenden Themen zur Problembehandlung:

........................

Ich bin nicht berechtigt, iam auszuführen: PassRole

Wenn Sie die Fehlermeldung erhalten, dass Sie nicht berechtigt sind, die iam: PassRole -Aktion auszuführen, müssen Ihre Richtlinien aktualisiert werden, damit Sie eine Rolle an RES übergeben können.

Bei einigen AWS Diensten können Sie eine bestehende Rolle an diesen Dienst übergeben, anstatt eine neue Servicerolle oder eine dienstverknüpfte Rolle zu erstellen. Hierzu benötigen Sie Berechtigungen für die Übergabe der Rolle an den Dienst.

Der folgende Beispielfehler tritt auf, wenn ein IAM-Benutzer namens marymajor versucht, die Konsole zu verwenden, um eine Aktion in RES auszuführen. Die Aktion erfordert jedoch, dass der Service über Berechtigungen verfügt, die durch eine Servicerolle gewährt werden. Mary besitzt keine Berechtigungen für die Übergabe der Rolle an den Dienst.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

In diesem Fall müssen Marys Richtlinien aktualisiert werden, damit sie die iam: -Aktion ausführen kann. PassRole Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren AWS Administrator. Ihr Administrator hat Ihnen Ihre Anmeldeinformationen zur Verfügung gestellt.

........................

Ich möchte Personen außerhalb meines AWS Kontos den Zugriff auf mein Research and Engineering Studio über AWS Ressourcen ermöglichen

Sie können eine Rolle erstellen, mit der Benutzer in anderen Konten oder Personen außerhalb Ihrer Organisation auf Ihre Ressourcen zugreifen können. Sie können festlegen, wem die Übernahme der Rolle anvertraut wird. Im Fall von Diensten, die ressourcenbasierte Richtlinien oder Zugriffskontrolllisten (Access Control Lists, ACLs) verwenden, können Sie diese Richtlinien verwenden, um Personen Zugriff auf Ihre Ressourcen zu gewähren.

Weitere Informationen dazu finden Sie hier:

........................

Wenn ich mich bei der Umgebung anmelde, kehre ich sofort zur Anmeldeseite zurück

Dieses Problem tritt auf, wenn Ihre SSO-Integration falsch konfiguriert ist. Um das Problem zu ermitteln, überprüfen Sie die Controller-Instanzprotokolle und überprüfen Sie die Konfigurationseinstellungen auf Fehler.

........................

Fehler „Benutzer nicht gefunden“ beim Versuch, sich anzumelden

Wenn ein Benutzer beim Versuch, sich an der RES-Schnittstelle anzumelden, den Fehler „Benutzer nicht gefunden“ erhält und der Benutzer in Active Directory präsent ist:

........................

Der Benutzer wurde in Active Directory hinzugefügt, fehlt aber in RES

Wenn Sie dem Active Directory einen Benutzer hinzugefügt haben, dieser jedoch in RES fehlt, muss die AD-Synchronisierung ausgelöst werden. Die AD-Synchronisierung wird stündlich von einer Lambda-Funktion durchgeführt, die AD-Einträge in die RES-Umgebung importiert. Gelegentlich kommt es zu Verzögerungen, bis der nächste Synchronisierungsvorgang ausgeführt wird, nachdem Sie neue Benutzer oder Gruppen hinzugefügt haben. Sie können die Synchronisierung manuell über den Amazon Simple Queue Service initiieren.

........................

Der Benutzer ist beim Erstellen einer Sitzung nicht verfügbar

Wenn Sie als Administrator eine Sitzung erstellen, aber feststellen, dass ein Benutzer, der sich im Active Directory befindet, beim Erstellen einer Sitzung nicht verfügbar ist, muss sich der Benutzer möglicherweise zum ersten Mal anmelden. Sitzungen können nur für aktive Benutzer erstellt werden. Aktive Benutzer müssen sich mindestens einmal bei der Umgebung anmelden.

........................

Fehler beim Überschreiten der Größenbeschränkung im CloudWatch Cluster-Manager-Protokoll

2023-10-31T18:03:12.942-07:00 ldap.SIZELIMIT_EXCEEDED: {'msgtype': 100, 'msgid': 11, 'result': 4, 'desc': 'Size limit exceeded', 'ctrls': []}

Wenn Sie diesen Fehler im CloudWatch Cluster-Manager-Protokoll erhalten, hat die LDAP-Suche möglicherweise zu viele Benutzerdatensätze zurückgegeben. Um dieses Problem zu beheben, erhöhen Sie das Limit für LDAP-Suchergebnisse Ihres IDP.

........................

Speicher

........................

Ich habe das Dateisystem über RES erstellt, aber es wird nicht auf den VDI-Hosts bereitgestellt

Die Dateisysteme müssen sich im Status „Verfügbar“ befinden, bevor sie von VDI-Hosts bereitgestellt werden können. Gehen Sie wie folgt vor, um zu überprüfen, ob sich das Dateisystem im erforderlichen Zustand befindet.

Amazon EFS

Amazon FSx ONTAP

........................

Ich habe ein Dateisystem über RES integriert, aber es wird nicht auf den VDI-Hosts bereitgestellt

Für die in RES integrierten Dateisysteme sollten die erforderlichen Sicherheitsgruppenregeln so konfiguriert sein, dass VDI-Hosts die Dateisysteme mounten können. Da diese Dateisysteme extern in RES erstellt werden, verwaltet RES die zugehörigen Sicherheitsgruppenregeln nicht.

Die Sicherheitsgruppe, die den integrierten Dateisystemen zugeordnet ist, sollte den folgenden eingehenden Datenverkehr zulassen:

........................

Ich kann von VDI-Hosts aus nicht read/write einschalten

ONTAP unterstützt den Sicherheitsstil UNIX, NTFS und MIXED für die Volumes. Die Sicherheitsstile bestimmen, welche Art von Berechtigungen ONTAP zur Steuerung des Datenzugriffs verwendet und welcher Clienttyp diese Berechtigungen ändern kann.

Wenn ein Volume beispielsweise den UNIX-Sicherheitsstil verwendet, können SMB-Clients aufgrund des Multiprotokollcharakters von ONTAP trotzdem auf Daten zugreifen (vorausgesetzt, sie authentifizieren und autorisieren). ONTAP verwendet jedoch UNIX-Berechtigungen, die nur UNIX-Clients mit systemeigenen Tools ändern können.

Beispiele für Anwendungsfälle im Umgang mit Berechtigungen

Verwenden eines Volumes im UNIX-Stil mit Linux-Workloads

Berechtigungen können vom Sudoer für andere Benutzer konfiguriert werden. Im Folgenden würden beispielsweise alle Mitglieder über <group-ID> volle read/write Berechtigungen für das /<project-name> Verzeichnis verfügen:

sudo chown root:<group-ID> /<project-name>
sudo chmod 770 /<project-name>

Verwenden eines Datenträgers im NTFS-Stil bei Linux- und Windows-Workloads

Freigabeberechtigungen können mithilfe der Freigabeeigenschaften eines bestimmten Ordners konfiguriert werden. Wenn Sie beispielsweise einen Benutzer user_01 und einen Ordner angebenmyfolder, können Sie Berechtigungen für Full ControlChange, oder Read für Allow oder festlegenDeny:

Wenn das Volume sowohl von Linux- als auch von Windows-Clients verwendet werden soll, müssen wir auf der SVM eine Namenszuordnung einrichten, die jeden Linux-Benutzernamen demselben Benutzernamen mit dem NetBIOS-Domänennamenformat Domäne\ Benutzername zuordnet. Dies ist für die Übersetzung zwischen Linux- und Windows-Benutzern erforderlich. Weitere Informationen finden Sie unter Aktivieren von Multiprotokoll-Workloads mit Amazon FSx für ONTAP. NetApp

........................

Ich habe Amazon FSx for NetApp ONTAP von RES aus erstellt, aber es ist meiner Domain nicht beigetreten

Wenn Sie Amazon FSx for NetApp ONTAP derzeit von der RES-Konsole aus erstellen, wird das Dateisystem bereitgestellt, aber es tritt der Domain nicht bei. Informationen zum Hinzufügen der erstellten ONTAP-Dateisystem-SVM zu Ihrer Domain finden Sie unter Hinzufügen von SVMs zu einem Microsoft Active Directory und folgen Sie den Schritten auf der Amazon FSx-Konsole. Stellen Sie sicher, dass die erforderlichen Berechtigungen an das Amazon FSx Service Account in AD delegiert wurden. Sobald die SVM der Domain erfolgreich beitritt, gehen Sie zu SVM-Zusammenfassung > Endpoints > SMB-DNS-Name und kopieren Sie den DNS-Namen, da Sie ihn später benötigen werden.

Nachdem es der Domäne hinzugefügt wurde, bearbeiten Sie den SMB-DNS-Konfigurationsschlüssel in der DynamoDB-Tabelle mit den Clustereinstellungen:

Stellen Sie außerdem sicher, dass die dem Dateisystem zugeordnete Sicherheitsgruppe den in File System Access Control with Amazon VPC empfohlenen Datenverkehr zulässt. Neue VDI-Hosts, die das Dateisystem verwenden, können nun die zur Domäne gehörende SVM und das Dateisystem mounten.

Alternativ können Sie ein vorhandenes Dateisystem einbinden, das bereits mit Ihrer Domain verknüpft ist. Wählen Sie dazu unter Environment Management die Option Dateisysteme, Onboard-Dateisystem aus.

........................

-Snapshots

........................

Ein Snapshot hat den Status Fehlgeschlagen

Wenn ein Snapshot auf der Seite RES-Snapshots den Status Fehlgeschlagen hat, kann die Ursache ermittelt werden, indem Sie in der CloudWatch Amazon-Protokollgruppe für den Cluster-Manager nach dem Zeitpunkt suchen, zu dem der Fehler aufgetreten ist.

[2023-11-19 03:39:20,208] [INFO] [snapshots-service] creating snapshot in S3 Bucket:
  asdf at path s31
[2023-11-19 03:39:20,381] [ERROR] [snapshots-service] An error occurred while
  creating the snapshot: An error occurred (TableNotFoundException)
  when calling the UpdateContinuousBackups operation: 
  Table not found: res-demo.accounts.sequence-config 

........................

Ein Snapshot kann nicht angewendet werden, da die Protokolle darauf hinweisen, dass die Tabellen nicht importiert werden konnten.

Wenn ein Snapshot aus einer früheren Umgebung nicht in einer neuen Umgebung angewendet werden kann, suchen Sie in den CloudWatch Protokollen nach dem Cluster-Manager, um das Problem zu identifizieren. Wenn das Problem darauf hinweist, dass die erforderlichen Tabellen nicht importiert wurden, überprüfen Sie, ob sich der Snapshot in einem gültigen Zustand befindet.

........................

Infrastruktur

........................

Load Balancer-Zielgruppen ohne fehlerfreie Instances

Wenn Probleme wie Serverfehlermeldungen in der Benutzeroberfläche angezeigt werden oder Desktop-Sitzungen keine Verbindung herstellen können, kann dies auf ein Problem in der Infrastruktur der Amazon EC2 EC2-Instances hinweisen.

Um die Ursache des Problems zu ermitteln, suchen Sie zunächst in der Amazon EC2 EC2-Konsole nach Amazon EC2 EC2-Instances, die anscheinend wiederholt beendet und durch neue Instances ersetzt werden. In diesem Fall kann die Ursache anhand der CloudWatch Amazon-Protokolle ermittelt werden.

Eine andere Methode besteht darin, die Load Balancer im System zu überprüfen. Ein Hinweis darauf, dass möglicherweise Systemprobleme vorliegen, ist, wenn ein Load Balancer auf der Amazon EC2 EC2-Konsole keine registrierten fehlerfreien Instances anzeigt.

Ein Beispiel für ein normales Erscheinungsbild finden Sie hier:

Wenn der Health-Eintrag 0 ist, bedeutet dies, dass keine Amazon EC2 EC2-Instance für die Bearbeitung von Anfragen verfügbar ist.

Wenn der Eintrag Unhealthy nicht 0 ist, deutet dies darauf hin, dass eine Amazon EC2 EC2-Instance möglicherweise zyklisch läuft. Dies kann daran liegen, dass die installierte Anwendungssoftware die Integritätsprüfungen nicht bestanden hat.

Wenn sowohl die Einträge „Gesund“ als auch „Unhealthy“ den Wert 0 haben, deutet dies auf eine mögliche Fehlkonfiguration des Netzwerks hin. Beispielsweise verfügen die öffentlichen und privaten Subnetze möglicherweise nicht über entsprechende AZs. Wenn dieser Zustand eintritt, wird auf der Konsole möglicherweise zusätzlicher Text angezeigt, der darauf hinweist, dass der Netzwerkstatus vorhanden ist.

........................

Virtuelle Desktops werden gestartet

........................

Ich muss eine große Anzahl von VDIs im RES-Webportal starten/fortsetzen

Wenn Sie eine große Anzahl von VDIs im Batch starten oder fortsetzen, kann es sein, dass diese aufgrund des konfigurierten bereitgestellten Durchsatzes (5 — 20) für die environment-name.vdc.dcv-broker.dcvServer DynamoDB-Tabellen den Status Fehler annehmen.

Um dieses Problem zu umgehen, können Sie die maximalen Lese-/Schreibkapazitätseinheiten der environment-name.vdc.dcv-broker.dcvServer Tabelle in der AWS DynamoDB-Konsole auf der Grundlage der historischen Kapazitätsnutzungsdaten ändern, wie hier gezeigt:

Beachten Sie, dass das Starten von 5 VDIs etwa 1 WCU an Schreibvorgängen erfordert. Eine Änderung der Lese-/Schreibkapazitätseinheiten kann sich auf Ihre RES-Kosten auswirken. Weitere Informationen finden Sie auf der Preisseite für Amazon DynamoDB unter Preise für bereitgestellte Kapazität.

........................

Das Anmeldekonto für Windows Virtual Desktop ist auf Administrator eingestellt

Wenn Sie einen virtuellen Windows-Desktop im RES-Webportal starten können, sein Anmeldekonto jedoch beim Herstellen der Verbindung auf Administrator gesetzt ist, wurde Ihr Windows VDI möglicherweise nicht erfolgreich dem Active Directory hinzugefügt.

Stellen Sie zur Überprüfung von der Amazon EC2 EC2-Konsole aus eine Verbindung zur Windows-Instance her und überprüfen Sie die Bootstrap-Protokolle unter. C:\Users\Administrator\RES\Bootstrap\virtual-desktop-host-windows\ Eine Fehlermeldung, die mit beginnt, [Join AD] authorization failed: weist darauf hin, dass die Instance dem AD nicht beitreten konnte. Weitere Informationen zu dem Fehler finden Sie im Cluster Manager, der sich CloudWatch unter dem Namen /<res-environment-name>/cluster-manager der Protokollgruppe anmeldet:

........................

Das Zertifikat läuft ab, wenn eine externe Ressource verwendet wird CertificateRenewalNode

Wenn Sie das Rezept für externe Ressourcen bereitgestellt haben und "The connection has been closed. Transport error" beim Herstellen einer Verbindung zu Linux-VDIs ein Fehler auftritt, ist die wahrscheinlichste Ursache ein abgelaufenes Zertifikat, das aufgrund eines falschen Pip-Installationspfads unter Linux nicht automatisch aktualisiert wird. Zertifikate laufen nach 3 Monaten ab.

Die CloudWatch Amazon-Protokollgruppe protokolliert <envname>/vdc/dcv-connection-gateway möglicherweise den Fehler beim Verbindungsversuch mit Meldungen, die den folgenden ähneln:

| 2024-07-29T21:46:02.651Z | Jul 29 21:46:01.702  WARN HTTP:Splicer Connection{id=341 client_address="x.x.x.x:50682"}: Error in connection task: TLS handshake error: received fatal alert: CertificateUnknown | redacted:/res-demo/vdc/dcv-connection-gateway | dcv-connection-gateway_10.3.146.195 |
| 2024-07-29T21:46:02.651Z | Jul 29 21:46:01.702  WARN HTTP:Splicer Connection{id=341 client_address="x.x.x.x:50682"}: Certificate error: AlertReceived(CertificateUnknown) | redacted:/res-demo/vdc/dcv-connection-gateway | dcv-connection-gateway_10.3.146.195 | 

........................

Ein virtueller Desktop, der zuvor funktionierte, kann keine erfolgreiche Verbindung mehr herstellen

Wenn eine Desktop-Verbindung geschlossen wird oder Sie keine Verbindung mehr herstellen können, liegt das Problem möglicherweise daran, dass die zugrunde liegende Amazon EC2 EC2-Instance ausfällt oder die Amazon EC2 EC2-Instance außerhalb der RES-Umgebung beendet oder gestoppt wurde. Der Status der Admin-Benutzeroberfläche zeigt möglicherweise weiterhin den Status Bereit an, aber Versuche, eine Verbindung herzustellen, schlagen fehl.

Die Amazon EC2 EC2-Konsole sollte verwendet werden, um festzustellen, ob die Instance beendet oder gestoppt wurde. Wenn sie gestoppt wurde, versuchen Sie erneut, sie zu starten. Wenn der Status beendet ist, muss ein weiterer Desktop erstellt werden. Alle Daten, die im Home-Verzeichnis des Benutzers gespeichert wurden, sollten weiterhin verfügbar sein, wenn die neue Instanz gestartet wird.

Wenn die Instanz, die zuvor ausgefallen ist, immer noch auf der Admin-Benutzeroberfläche angezeigt wird, muss sie möglicherweise über die Admin-Benutzeroberfläche beendet werden.

........................

Ich kann nur 5 virtuelle Desktops starten

Das Standardlimit für die Anzahl der virtuellen Desktops, die ein Benutzer starten kann, ist 5. Dies kann von einem Administrator über die Admin-Benutzeroberfläche wie folgt geändert werden:

........................

Windows-Desktop-Verbindungsversuche schlagen fehl mit der Meldung „Die Verbindung wurde geschlossen“. Transportfehler“

Wenn eine Windows-Desktop-Verbindung mit dem UI-Fehler „Die Verbindung wurde geschlossen“ fehlschlägt. „Transportfehler“: Die Ursache kann auf ein Problem in der DCV-Serversoftware zurückzuführen sein, das mit der Zertifikatserstellung auf der Windows-Instanz zusammenhängt.

Die CloudWatch Amazon-Protokollgruppe protokolliert <envname>/vdc/dcv-connection-gateway möglicherweise den Fehler beim Verbindungsversuch mit Meldungen, die den folgenden ähneln:

Nov 24 20:24:27.631 DEBUG HTTP:Splicer Connection{id=9}:
Websocket{session_id="1291e75f-7816-48d9-bbb2-7371b3b911cd"}:
Resolver lookup{client_ip=Some(52.94.36.19) 
session_id="1291e75f-7816-48d9-bbb2-7371b3b911cd"
 protocol_type=WebSocket extension_data=None}:NoStrictCertVerification: 
 Additional stack certificate (0): [s/n: 0E9E9C4DE7194B37687DC4D2C0F5E94AF0DD57E]

Nov 24 20:25:15.384  INFO HTTP:Splicer Connection{id=21}:Websocket{
session_id="d1d35954-f29d-4b3f-8c23-6a53303ebc3f"}: 
Connection initiated error: unreachable, server io error Custom { 
kind: InvalidData, error:
General("Invalid certificate: certificate has expired (code: 10)") }

Nov 24 20:25:15.384  WARN HTTP:Splicer Connection{id=21}:
Websocket{session_id="d1d35954-f29d-4b3f-8c23-6a53303ebc3f"}: 
Error in websocket connection: Server unreachable: Server error: IO error: 
unexpected error: Invalid certificate: certificate has expired (code: 10) 

In diesem Fall besteht eine Lösung möglicherweise darin, den SSM Session Manager zu verwenden, um eine Verbindung zur Windows-Instance herzustellen und die folgenden 2 zertifikatsbezogenen Dateien zu entfernen:

PS C:\Windows\system32\config\systemprofile\AppData\Local\NICE\dcv> dir

    Directory: C:\Windows\system32\config\systemprofile\AppData\Local\NICE\dcv


Mode                LastWriteTime         Length Name
----                -------------         ------ ----
-a----         8/4/2022  12:59 PM           1704 dcv.key
-a----         8/4/2022  12:59 PM           1265 dcv.pem 

Die Dateien sollten automatisch neu erstellt werden und ein nachfolgender Verbindungsversuch könnte erfolgreich sein.

Wenn diese Methode das Problem behebt und wenn bei Neustarts von Windows-Desktops derselbe Fehler auftritt, verwenden Sie die Funktion „Software-Stack erstellen“, um einen neuen Windows-Softwarestack der festen Instanz mit den neu generierten Zertifikatsdateien zu erstellen. Dadurch kann ein Windows-Softwarestack entstehen, der für erfolgreiche Starts und Verbindungen verwendet werden kann.

........................

VDIs stecken im Bereitstellungsstatus fest

Wenn ein Desktop-Start in der Admin-Benutzeroberfläche im Bereitstellungsstatus verbleibt, kann dies mehrere Gründe haben.

Um die Ursache zu ermitteln, überprüfen Sie die Protokolldateien auf der Desktop-Instanz und suchen Sie nach Fehlern, die das Problem verursachen könnten. Dieses Dokument enthält eine Liste von Protokolldateien und CloudWatch Amazon-Protokollgruppen, die relevante Informationen im Abschnitt Nützliche Protokoll- und Ereignisinformationsquellen enthalten.

Im Folgenden sind mögliche Ursachen für dieses Problem aufgeführt.

........................

VDIs geraten nach dem Start in den Fehlerstatus

........................

Nach der Anmeldung wird bei der VDI-Sitzung ein leerer Bildschirm angezeigt

Wenn eine VDI-Sitzung mit dem Typ Konsolensitzung leer ist und nach der Anmeldung nicht reagiert, bedeutet dies, dass der X-Server defekt ist. Dies ist wahrscheinlich auf ein Betriebssystemproblem zurückzuführen, bei dem DCV versucht, den Desktop zu streamen, aber es gibt keinen zum Streamen. Die wahrscheinlichste Ursache dafür ist ein Problem mit der Xorg-Konfiguration. Der folgende Befehl kann ausgeführt werden, um sich weniger auf die Xorg-Standardkonfiguration zu verlassen.

Debian-basiertes Linux:

dpkg-divert --package nice-xdcv --divert /usr/bin/Xorg.orig --rename /usr/bin/Xorg ln -sf /usr/bin/Xdcv-console /usr/bin/Xorg 

Linux auf Red Hat-Basis:

rpm -q --whatprovides /usr/bin/Xorg && \
cp /usr/bin/Xorg /usr/bin/Xorg.orig && \
ln -sf /usr/bin/Xdcv-console /usr/bin/Xorg 

........................

Komponente für virtuelle Desktops

........................

Die Amazon EC2 EC2-Instance wird in der Konsole wiederholt als beendet angezeigt

Wenn eine Infrastruktur-Instance in der Amazon EC2 EC2-Konsole wiederholt als beendet angezeigt wird, kann die Ursache mit ihrer Konfiguration zusammenhängen und vom Typ der Infrastruktur-Instance abhängen. Im Folgenden finden Sie Methoden, um die Ursache zu ermitteln.

Wenn die vdc-controller-Instance in der Amazon EC2 EC2-Konsole wiederholt den Status „Beendet“ anzeigt, kann dies an einem falschen Secret-Tag liegen. Geheimnisse, die von RES verwaltet werden, haben Tags, die als Teil der IAM-Zugriffskontrollrichtlinien verwendet werden, die den Amazon EC2 EC2-Infrastruktur-Instances zugeordnet sind. Wenn der vdc-Controller zyklisch läuft und der folgende Fehler in der CloudWatch Protokollgruppe erscheint, kann dies daran liegen, dass ein Geheimnis nicht korrekt markiert wurde. Beachten Sie, dass das Geheimnis mit dem folgenden Tag versehen werden muss:

{
    "res:EnvironmentName": "<envname>" # e.g. "res-demo"
    "res:ModuleName": "virtual-desktop-controller"
} 

Die CloudWatch Amazon-Protokollmeldung für diesen Fehler wird etwa wie folgt aussehen:

An error occurred (AccessDeniedException) when calling the GetSecretValue
operation: User: arn:aws:sts::160215750999:assumed-role/<envname>-vdc-gateway-role-us-east-1/i-043f76a2677f373d0 
is not authorized to perform: secretsmanager:GetSecretValue on resource:
arn:aws:secretsmanager:us-east-1:160215750999:secret:Certificate-res-bi-Certs-5W9SPUXF08IB-F1sNRv 
because no identity-based policy allows the secretsmanager:GetSecretValue action 

Überprüfen Sie die Tags auf der Amazon EC2 EC2-Instance und vergewissern Sie sich, dass sie mit der obigen Liste übereinstimmen.

........................

Die vdc-Controller-Instanz läuft, weil sie dem AD nicht beitreten konnte. /Das eVDI-Modul zeigt die fehlgeschlagene API-Zustandsprüfung an

Wenn das eVDI-Modul die Zustandsprüfung nicht besteht, wird im Abschnitt Umgebungsstatus Folgendes angezeigt.

In diesem Fall besteht der allgemeine Pfad zum Debuggen darin, in die CloudWatchCluster-Manager-Protokolle zu schauen. (Suchen Sie nach der Protokollgruppe mit dem Namen.) <env-name>/cluster-manager

Mögliche Probleme:

........................

Das Projekt erscheint nicht im Pulldown, wenn Sie den Software-Stack bearbeiten, um es hinzuzufügen

Dieses Problem hängt möglicherweise mit dem folgenden Problem zusammen, das mit der Synchronisierung des Benutzerkontos mit AD zusammenhängt. Wenn dieses Problem auftritt, überprüfen Sie die CloudWatch Amazon-Protokollgruppe des Cluster-Managers auf den Fehler "<user-home-init> account not available yet. waiting for user to be synced", um festzustellen, ob die Ursache dieselbe ist oder zusammenhängt.

........................

Clustermanager Amazon CloudWatch Log zeigt „<user-home-init>Konto noch nicht verfügbar. wartet darauf, dass der Benutzer synchronisiert wird“ (wobei das Konto ein Benutzername ist)

Der SQS-Abonnent ist beschäftigt und steckt in einer Endlosschleife fest, weil er nicht auf das Benutzerkonto zugreifen kann. Dieser Code wird ausgelöst, wenn versucht wird, während der Benutzersynchronisierung ein Home-Dateisystem für einen Benutzer zu erstellen.

Der Grund, warum es nicht in der Lage ist, auf das Benutzerkonto zuzugreifen, ist möglicherweise, dass RES für das verwendete AD nicht korrekt konfiguriert wurde. Ein Beispiel könnte sein, dass der bei der Erstellung der BI/RES Umgebung verwendete ServiceAccountCredentialsSecretArn Parameter nicht der richtige Wert war.

........................

Beim Anmeldeversuch wird auf dem Windows-Desktop angezeigt: „Ihr Konto wurde deaktiviert. Bitte wenden Sie sich an Ihren Administrator.“

Wenn sich der Benutzer auf einem gesperrten Bildschirm nicht wieder anmelden kann, kann dies darauf hindeuten, dass der Benutzer in dem für RES konfigurierten AD deaktiviert wurde, nachdem er sich erfolgreich über SSO angemeldet hat.

Die SSO-Anmeldung sollte fehlschlagen, wenn das Benutzerkonto in AD deaktiviert wurde.

........................

Probleme mit den DHCP-Optionen bei der external/customer AD-Konfiguration

Wenn Sie bei der Verwendung von RES "The connection has been closed. Transport error" mit Ihrem eigenen Active Directory auf einen Fehler bei virtuellen Windows-Desktops stoßen, suchen Sie im CloudWatch Amazon-Protokoll von dcv-connection-gateway nach etwas Ähnlichem wie dem Folgenden:

Oct 28 00:12:30.626  INFO HTTP:Splicer Connection{id=263}:
Websocket{session_id="96cffa6e-cf2e-410f-9eea-6ae8478dc08a"}: Connection initiated error: unreachable, server io error Custom { kind: Uncategorized, error: "failed to lookup address information: Name or service not known" } 

Oct 28 00:12:30.626  WARN HTTP:Splicer Connection{id=263}: Websocket{session_id="96cffa6e-cf2e-410f-9eea-6ae8478dc08a"}: Error in websocket connection: Server unreachable: Server error: IO error: failed to lookup address information: Name or service not known
 
Oct 28 00:12:30.627 DEBUG HTTP:Splicer Connection{id=263}: ConnectionGuard dropped

Wenn Sie einen AD-Domänencontroller für Ihre DHCP-Optionen für Ihre eigene VPC verwenden, müssen Sie:

Ein Beispiel wird hier gezeigt. Ohne diese Konfiguration gibt der Windows-Desktop einen Transportfehler RES/DCV aus, weil nach dem Hostnamen ip-10-0-x-xx.ec2.internal gesucht wird.

........................

Firefox-Fehler MOZILLA_PKIX_ERROR_REQUIRED_TLS_FEATURE_MISSING

Wenn Sie den Firefox-Webbrowser verwenden, wird möglicherweise die Fehlermeldung vom Typ MOZILLA_PKIX_ERROR_REQUIRED_TLS_FEATURE_MISSING angezeigt, wenn Sie versuchen, eine Verbindung zu einem virtuellen Desktop herzustellen.

Die Ursache ist, dass der RES-Webserver mit TLS + Stapling On eingerichtet ist, aber nicht mit Stapling Validation reagiert (siehe. https://support.mozilla.org/en-US/questions/1372483

Sie können dieses Problem beheben, indem Sie den Anweisungen unter folgen:. https://really-simple-ssl.com/mozilla_pkix_error_required_tls_feature_missing

........................

Löschen von Umgebungen

........................

Der res-xxx-cluster-Stack befindet sich im Status „DELETE_FAILED“ und kann aufgrund des Fehlers „Die Rolle ist ungültig oder kann nicht angenommen werden“ nicht manuell gelöscht werden

Wenn Sie feststellen, dass sich der Stack „res-xxx-cluster“ im Status „DELETE_FAILED“ befindet und nicht manuell gelöscht werden kann, können Sie die folgenden Schritte ausführen, um ihn zu löschen.

Wenn Sie sehen, dass sich der Stack im Status „DELETE_FAILED“ befindet, versuchen Sie zunächst, ihn manuell zu löschen. Möglicherweise wird ein Dialogfeld angezeigt, in dem Delete Stack bestätigt wird. Wählen Sie Löschen aus.

Selbst wenn Sie alle erforderlichen Stack-Ressourcen löschen, wird manchmal immer noch die Meldung angezeigt, dass Sie Ressourcen auswählen müssen, die beibehalten werden sollen. Wählen Sie in diesem Fall alle Ressourcen als „beizubehaltende Ressourcen“ aus und klicken Sie auf Löschen.

Möglicherweise wird ein Fehler angezeigt, der wie folgt aussieht Role: arn:aws:iam::... is Invalid or cannot be assumed

Das bedeutet, dass die Rolle, die zum Löschen des Stacks erforderlich ist, zuerst gelöscht wurde, bevor der Stapel gelöscht wurde. Um dies zu umgehen, kopieren Sie den Namen der Rolle. Gehen Sie zur IAM-Konsole und erstellen Sie eine Rolle mit diesem Namen. Verwenden Sie dabei die folgenden Parameter:

Wählen Sie Weiter aus. Stellen Sie sicher, dass Sie den Rollen '' und AWSCloudFormationFullAccess 'AdministratorAccess' die Berechtigungen geben. Ihre Bewertungsseite sollte wie folgt aussehen:

Kehren Sie dann zur CloudFormation Konsole zurück und löschen Sie den Stack. Sie sollten es jetzt löschen können, seit Sie die Rolle erstellt haben. Gehen Sie abschließend zur IAM-Konsole und löschen Sie die von Ihnen erstellte Rolle.

........................

Protokolle sammeln

Von der EC2-Konsole aus bei einer EC2-Instance anmelden

Sammeln von Infrastruktur-Host-Protokollen

Eine Möglichkeit, die Protokolle einfach abzurufen, besteht darin, den Anweisungen im Protokolle von Linux EC2-Instances werden heruntergeladen Abschnitt zu folgen. Der Modulname wäre der Instanzname.

Sammeln von VDI-Protokollen

........................

VDI-Protokolle werden heruntergeladen

........................

Protokolle von Linux EC2-Instances werden heruntergeladen

Melden Sie sich bei der EC2-Instance an, von der Sie Logs herunterladen möchten, und führen Sie die folgenden Befehle aus, um alle Logs in einen S3-Bucket hochzuladen:

sudo su -
ENV_NAME=<environment_name>
REGION=<region>
ACCOUNT=<aws_account_number>
MODULE=<module_name>

cd /root/bootstrap
tar -czvf ${MODULE}_logs.tar.gz logs/ --overwrite
aws s3 cp ${MODULE}_logs.tar.gz s3://${ENV_NAME}-cluster-${REGION}-${ACCOUNT}/${MODULE}_logs.tar.gz 

Gehen Sie danach zur S3-Konsole, wählen Sie den Bucket mit dem Namen aus <environment_name>-cluster-<region>-<aws_account_number> und laden Sie die zuvor hochgeladene <module_name>_logs.tar.gz Datei herunter.

........................

Protokolle von Windows EC2-Instances werden heruntergeladen

Melden Sie sich bei der EC2-Instance an, von der Sie Protokolle herunterladen möchten, und führen Sie die folgenden Befehle aus, um alle Protokolle in einen S3-Bucket hochzuladen:

$ENV_NAME="<environment_name>"
$REGION="<region>"
$ACCOUNT="<aws_account_number>"
$MODULE="<module_name>"

$logDirPath = Join-Path -Path $env:SystemDrive -ChildPath "Users\Administrator\RES\Bootstrap\Log"
$zipFilePath = Join-Path -Path $env:TEMP -ChildPath "logs.zip"
Remove-Item $zipFilePath
Compress-Archive -Path $logDirPath -DestinationPath $zipFilePath
$bucketName = "${ENV_NAME}-cluster-${REGION}-${ACCOUNT}"
$keyName = "${MODULE}_logs.zip"
Write-S3Object -BucketName $bucketName -Key $keyName -File $zipFilePath 

Gehen Sie danach zur S3-Konsole, wählen Sie den Bucket mit dem Namen aus <environment_name>-cluster-<region>-<aws_account_number> und laden Sie die zuvor hochgeladene <module_name>_logs.zip Datei herunter.

........................

Sammeln von ECS-Protokollen für den WaitCondition Fehler

........................

Fehler beim Löschen der Netzwerkschnittstelle

Wenn Sie im Abschnitt Ereignisse beim detachvpcfromlambdacustomresource Löschen des RES-Finalizer-Stacks einen Löschfehler feststellen, bedeutet dies höchstwahrscheinlich, dass der Lambda-Service die an RES-Lambdas angeschlossenen Netzwerkschnittstellen entweder nicht oder nicht rechtzeitig gelöscht hat.

Sie können diese veralteten Netzwerkschnittstellen manuell löschen, indem Sie in der Amazon EC2 EC2-Konsole zur Seite Netzwerkschnittstellen navigieren und nach Beschreibungen filtern, die Folgendes enthalten. AWS Lambda VPC ENI-{RES-Environment-Name} Es sollten bis zu 14 Netzwerkschnittstellen vorhanden sein, es könnten jedoch auch weniger sein, je nachdem, wie viele Lambda erfolgreich löschen konnte. Löschen Sie diese Netzwerkschnittstellen manuell und starten Sie dann das Löschen des RES-Stacks erneut.

Demo-Umgebung

........................

Anmeldefehler in der Demo-Umgebung bei der Bearbeitung der Authentifizierungsanfrage an den Identitätsanbieter

Problem

Wenn Sie versuchen, sich anzumelden und die Meldung „Unerwarteter Fehler bei der Bearbeitung der Authentifizierungsanfrage an den Identitätsanbieter“ angezeigt wird, sind Ihre Passwörter möglicherweise abgelaufen. Dies kann entweder das Passwort für den Benutzer sein, mit dem Sie sich anmelden möchten, oder Ihr Directory Service Directory-Dienstkonto.

Schadensbegrenzung

........................

Demo-Stack-Keycloak funktioniert nicht

Problem

Wenn Ihr Keycloak-Server abgestürzt ist und sich beim Neustart des Servers die IP der Instanz geändert hat, hat dies möglicherweise dazu geführt, dass Keycloak kaputt gegangen ist. Die Anmeldeseite Ihres RES-Portals kann entweder nicht geladen werden oder bleibt in einem Ladezustand hängen, der nie behoben wird.

Schadensbegrenzung

Sie müssen die bestehende Infrastruktur löschen und den Keycloak-Stack erneut bereitstellen, um Keycloak wieder in einen fehlerfreien Zustand zu versetzen. Dazu gehen Sie wie folgt vor:

........................

Probleme mit Active Directory

Mein VDI steckt lange Zeit im Bereitstellungsstatus fest, oder ich kann meinen VDI nicht als AD-Benutzer anmelden, nachdem der VDI bereit ist

Überprüfen Sie zunächst die VDI-Installations- und Konfigurationsprotokolle (/root/bootstrap/logs/und /opt/idea/app/logs/ Verzeichnisse für Linux oder C:\Program Files\RES\app\logs\ Verzeichnisse für Windows) auf Installations C:\Users\Administrator\RES\Bootstrap\Log\ - oder Konfigurationsfehler.

Wenn Sie eine Fehlermeldung finden, die besagt, dass die Instanz Active Directory nicht beitreten konnte, liegt das in der Regel daran, dass der Cluster-Manager das Computerkonto für die Instanz in Ihrem AD nicht voreinstellen kann. Überprüfen Sie die Cluster Manager-Protokolle unter der /environment-name/cluster-manager CloudWatch Protokollgruppe und filtern Sie nach Fehlermeldungen, die Folgendes [preset-computer] enthalten: Häufige Probleme sind unter anderem:

Wenn Sie DisableAdJoin true bei der Installation von RES auf setzen, stellen Ihre Linux-VDIs nur eine Verbindung zum Active Directory her, anstatt es über den SSSD-Dienst zu verbinden. Stellen Sie von der EC2-Konsole aus eine Connect zu Ihrer VDI-Instanz her und führen Sie den Befehl id username darauf aus. Wenn der Befehl die UID/GID des entsprechenden AD-Benutzers nicht zurückgeben kann, überprüfen Sie den SSSD-Dienststatus mithilfe des Befehls sudo systemctl status sssd auf der VDI-Instanz sowie anhand der SSSD-Dienstprotokolle im Verzeichnis. /var/log/sssd/

Wenn Sie SSSD-Konfigurationen anpassen müssen, um eine Verbindung zu Ihrem AD herzustellen, können Sie die SSSD-Konfigurationsdatei (/etc/sssd/sssd.conf) manuell bearbeiten und den SSSD-Dienst mithilfe eines Befehls sudo systemctl restart sssd auf dem Infra-/VDI-Host (Version 2024.12.01 und früher) neu starten oder zusätzliche SSSD-Konfigurationen über das RES-Webportal bereitstellen, Active Directory-Synchronisierung die anschließend automatisch auf Ihre vorhandenen oder neuen VDIs angewendet werden (Version 2025.03 und später).

........................

Ich kann mich nach der Konfiguration von SSO nicht im RES-Webportal anmelden

Überprüfen Sie die Tabellen environment-name.accounts.users und environment-name.accounts.groups DynamoDB, um zu sehen, ob Benutzer und Gruppen von Ihrem Active Directory aus synchronisiert werden. Wenn die Tabellen leer sind oder die Benutzer fehlen, die Sie anmelden, überprüfen Sie die AD-Synchronisierungsprotokolle in der /environment-name/cluster-manager CloudWatch Protokollgruppe (vor Version 2024.12) oder /environment-name/ad-sync CloudWatch Protokollgruppe (Version 2024.12 und höher).

Neben den unter genannten häufigen Problemen mit der AD-Konfiguration können weitere Mein VDI steckt lange Zeit im Bereitstellungsstatus fest, oder ich kann meinen VDI nicht als AD-Benutzer anmelden, nachdem der VDI bereit ist Fehler auftreten:

Nachdem Sie das AD-Synchronisierungsproblem behoben haben, können Sie auf die nächste geplante AD-Synchronisierung warten, die jede Stunde stattfindet, oder sie manuell auslösen, indem Sie den Anweisungen in Wie führe ich die Synchronisierung manuell aus (Version 2024.12 und 2024.12.01) (Version 2024.12 und 2024.12.01) oder Wie kann die Synchronisierung manuell gestartet oder gestoppt werden (Version 2025.03 und höher) (Version 2025.03 und höher) folgen.

........................

AD-Benutzer können mit dem Dateibrowser nicht auf das Basisverzeichnis zugreifen, auch wenn Linux-VDIs erfolgreich gestartet wurden

Überprüfen Sie, ob der AD-Benutzer für den Cluster Manager sichtbar ist, indem Sie den Befehl id username auf der Cluster Manager-Instanz ausführen. Wenn der Befehl die UID/GID des entsprechenden AD-Benutzers nicht zurückgeben kann, überprüfen Sie die Cluster Manager-Protokolle unter der /environment-name/cluster-manager CloudWatch Protokollgruppe und suchen Sie nach Fehlern beim Starten des SSSD-Dienstes. Wenn die Cluster Manager-Protokolle keinen Fehler enthalten, überprüfen Sie den SSSD-Dienststatus mithilfe des Befehls sudo systemctl status sssd auf der Cluster Manager-Instanz sowie anhand der SSSD-Dienstprotokolle im Verzeichnis. /var/log/sssd/

Wenn der AD-Benutzer für den Cluster-Manager sichtbar ist, überprüfen Sie die UID/GID im Home-Verzeichnis des Benutzers (/home/username), indem Sie den Befehl ausführen. ls -n /home Vergleichen Sie die UID/ GID des Home-Verzeichnisses des Benutzers mit der vom Befehl zurückgegebenen UID/GID. id username Wenn die UID/GID nicht übereinstimmt, bedeutet dies, dass das Home-Verzeichnis des Benutzers möglicherweise außerhalb von RES oder anhand einer früheren RES-Bereitstellung erstellt wurde. Erstellen Sie eine Sicherungskopie aller wichtigen Benutzerdaten, löschen Sie das Home-Verzeichnis und starten Sie mit dem Benutzer ein neues Linux-VDI. Das Home-Verzeichnis wird mit der richtigen UID /GID neu erstellt, nachdem der neue VDI erfolgreich bereitgestellt wurde.

........................

Der AD-Administratorbenutzer kann nicht auf den Bastion Host zugreifen, nachdem der SSH-Zugriff aktiviert wurde

Überprüfen Sie, ob der AD-Benutzer für den Bastion Host sichtbar ist, indem Sie den Befehl id username auf der Bastion Host-Instanz ausführen. Wenn der Befehl die UID/GID des entsprechenden AD-Benutzers nicht zurückgeben kann, überprüfen Sie die Bastion Host-Protokolle unter der /environment-name/bastion-host CloudWatch Protokollgruppe und suchen Sie nach Fehlern beim Starten des SSSD-Dienstes. Wenn die Bastion-Host-Protokolle keinen Fehler enthalten, überprüfen Sie den SSSD-Dienststatus mithilfe des Befehls sudo systemctl status sssd auf der Bastion-Host-Instanz sowie den SSSD-Dienstprotokollen unter dem Verzeichnis. /var/log/sssd/

........................

Mein vom externen RES-Ressourcenstapel bereitgestelltes Active Directory anzeigen und verwalten

Wenn Ihr AWS verwaltetes Active Directory durch einen externen RES-Ressourcenstapel bereitgestellt wird, sollte unter Ihrem AWS Konto eine Instanz vorhanden sein, deren Name mit AdDomainWindowsNode-external-resource-stack-name-WindowsManagementHost bereitgestellt beginnt und die für den Zugriff auf und die Verwaltung von Active Directory verwendet werden kann. Sie können die Instance über Fleet Manager in der EC2-Konsole mit den folgenden Anmeldeinformationen anmelden:

Informationen zur Verwaltung Ihres AWS verwalteten Active Directorys finden Sie unter Benutzer und Gruppen mit einer Amazon EC2 EC2-Instance verwalten im AWS Directory Service Administration Guide.

........................