Solución de problemas: creación y actualización de entornos de Amazon MWAA

Compruebe las versiones de los paquetes. Recomendamos especificar siempre una versión específica (==) o una versión máxima (<=) para las dependencias de Python en su requirements.txt.

Compruebe los registros de Apache Airflow. Si ha activado los registros de Apache Airflow, compruebe que los grupos de registros se hayan creado correctamente en la página Grupos de registros de la consola de CloudWatch. Si ve registros en blanco, el motivo más común es la falta permisos en su rol de ejecución para CloudWatch o Amazon S3, donde se escriben los registros. Consulte Rol de ejecución para obtener más información.

Compruebe las opciones de configuración de Apache Airflow. Si utiliza Secrets Manager, compruebe que los pares clave-valor que especificó como opción de configuración de Apache Airflow se hayan configurado correctamente. Consulte Configuración de una conexión de Apache Airflow mediante un secreto de AWS Secrets Manager para obtener más información.

Compruebe la configuración de la red de VPC. Consulte Intenté crear un entorno, pero se atascó en el estado Creating para obtener más información.

Compruebe los permisos de los roles de ejecución. Un rol de ejecución es un rol AWS Identity and Access Management (de IAM) con una política de permisos que otorga a Amazon MWAA permiso para invocar los recursos de otros servicios de AWS (como Amazon S3, CloudWatch, Amazon SQS o Amazon ECR) en su nombre. También se debe permitir el acceso a su clave administrada por el cliente o su clave propiedad de AWS. Consulte Rol de ejecución para obtener más información.

Para ejecutar un script de solución de problemas que compruebe la configuración de la red de Amazon VPC para su entorno Amazon MWAA, consulte el script Verify Environment (Verificar entorno) en las herramientas de soporte de AWS en GitHub.

Siga los pasos para adjuntar una política de JSON a su rol de ejecución.

Adjunte la siguiente política JSON:

{
  "Effect":"Allow",
  "Action":[
    "s3:GetObject*",
    "s3:GetBucket*",
    "s3:List*"
  ],
  "Resource":[
    "arn:aws:s3:::amzn-s3-demo-bucket",
    "arn:aws:s3:::amzn-s3-demo-bucket/*"
  ]
}

Sustituya los marcadores de posición de ejemplo en amzn-s3-demo-bucket por el nombre del bucket de Amazon S3.

Para ejecutar un script de solución de problemas que compruebe la configuración de la red de Amazon VPC para su entorno Amazon MWAA, consulte el script Verify Environment (Verificar entorno) en las herramientas de soporte de AWS en GitHub.

Compruebe la red de VPC con enrutamiento público. Si usa una Amazon VPC con acceso a Internet, compruebe lo siguiente:

1. Que su Amazon VPC esté configurada para permitir el tráfico de red entre los distintos recursos de AWS que utiliza su entorno de Amazon MWAA, tal y como se define en Acerca de las redes en Amazon MWAA. Por ejemplo, su grupo de seguridad de VPC debe permitir todo el tráfico en una regla de autorreferencia o, si lo desea, especificar el rango de puertos para el rango de puertos HTTPS 443 y un rango de puertos TCP 5432.

Compruebe la red de VPC con enrutamiento privado. Si usa una Amazon VPC sin acceso a Internet, compruebe lo siguiente:

1. Que su Amazon VPC esté configurada para permitir el tráfico de red entre los distintos recursos de AWS de su entorno Amazon MWAA, tal y como se define en Acerca de las redes en Amazon MWAA. Por ejemplo, sus dos subredes privadas no deben tener una tabla de enrutamiento a una puerta de enlace de NAT (o instancia de NAT) ni a una puerta de enlace de Internet.

Para ejecutar un script de solución de problemas que compruebe la configuración de la red de Amazon VPC para su entorno Amazon MWAA, consulte el script Verify Environment (Verificar entorno) en las herramientas de soporte de AWS en GitHub.

Compruebe la configuración de la red de VPC. Consulte Intenté crear un entorno, pero se atascó en el estado Creating para obtener más información.

Compruebe los permisos de usuario. Amazon MWAA realiza una prueba con las credenciales de un usuario antes de crear un entorno. Es posible que su Cuenta de AWS no tenga permiso en AWS Identity and Access Management (IAM) para crear algunos de los recursos de un entorno. Por ejemplo, si eligió el modo de acceso de red privada para Apache Airflow, su administrador debe haber concedido acceso a su Cuenta de AWS a la política de control de acceso de AmazonMWAAFullConsoleAccess para su entorno, que permite a su cuenta crear puntos de conexión de VPC.

Compruebe los permisos de los roles de ejecución. Un rol de ejecución es un rol AWS Identity and Access Management (de IAM) con una política de permisos que otorga a Amazon MWAA permiso para invocar los recursos de otros servicios de AWS (como Amazon S3, CloudWatch, Amazon SQS o Amazon ECR) en su nombre. También se debe permitir el acceso a su clave administrada por el cliente o su clave propiedad de AWS. Consulte Rol de ejecución para obtener más información.

Compruebe los registros de Apache Airflow. Si ha activado los registros de Apache Airflow, compruebe que los grupos de registros se hayan creado correctamente en la página Grupos de registros de la consola de CloudWatch. Si ve registros en blanco, el motivo más común es la falta permisos en su rol de ejecución para CloudWatch o Amazon S3, donde se escriben los registros. Consulte Rol de ejecución para obtener más información.

Para ejecutar un script de solución de problemas que compruebe la configuración de la red de Amazon VPC para su entorno Amazon MWAA, consulte el script Verify Environment (Verificar entorno) en las herramientas de soporte de AWS en GitHub.

Si utiliza una Amazon VPC sin acceso a Internet, asegúrese de haber creado un punto de conexión de puerta de enlace de Amazon S3 y de haber concedido los permisos mínimos necesarios a Amazon ECR para acceder a Amazon S3. Para obtener más información sobre cómo crear un punto de conexión de puerta de enlace de Amazon S3, consulte los siguientes recursos:

Compruebe la configuración del grupo de seguridad de VPC. Consulte Intenté crear un entorno, pero se atascó en el estado Creating para obtener más información.

Confirme que todos los paquetes de Apache Airflow que haya publicado en requirements.txt corresponden a la versión de Apache Airflow que utiliza en Amazon MWAA. Consulte Instalación de dependencias de Python para obtener más información.

Para ejecutar un script de solución de problemas que compruebe la configuración de la red de Amazon VPC para su entorno Amazon MWAA, consulte el script Verify Environment (Verificar entorno) en las herramientas de soporte de AWS en GitHub.

Pruebe sus DAG, complementos personalizados y dependencias de Python de forma local con aws-mwaa-docker-images en GitHub.

Para ejecutar un script de solución de problemas que compruebe la configuración de la red de Amazon VPC para su entorno Amazon MWAA, consulte el script Verify Environment (Verificar entorno) en las herramientas de soporte de AWS en GitHub.

Compruebe los permisos de usuario. Es posible que no se le haya concedido acceso a una política de permisos que le permita ver la UI de Apache Airflow. Consulte Acceso a un entorno de Amazon MWAA para obtener más información.

Compruebe el acceso a la red. Esto puede deberse a que seleccionó el modo de acceso de red privada. Si la URL de la UI de Apache Airflow tiene el siguiente formato 387fbcn-8dh4-9hfj-0dnd-834jhdfb-vpce.c10.us-west-2.airflow.amazonaws.com, significa que está usando un enrutamiento privado para su servidor web de Apache Airflow. Puede actualizar el modo de acceso de Apache Airflow al modo de acceso de red pública o crear un mecanismo para acceder al punto de conexión de VPC de su servidor web de Apache Airflow. Consulte Administración del acceso a los puntos de conexión de Amazon VPC específicos del servicio en Amazon MWAA para obtener más información.