Résolution des erreurs liées à l’AWS CLI

Exemple de texte d’erreur :

$ aws s3 copy
aws: [ERROR]: argument operation: Found invalid choice 'copy'

usage: aws [options] <command> <subcommand> [<subcommand> ...] [parameters]
To see help text, you can run:

  aws help
  aws <command> help
  aws <command> <subcommand> help

Diverses erreurs peuvent se produire si votre commande est mal formatée ou si vous utilisez une version antérieure à la publication de la fonctionnalité. Pour plus d’informations sur la résolution des erreurs liées à ces deux problèmes, consultez Vérifiez le formatage de vos commandes dans l’AWS CLI et Confirmez que vous utilise une version récente de l’AWS CLI.

haut de la page

Exemple de texte d’erreur :

$ aws --version
command not found: aws

Si la commande aws est introuvable après l’installation ou la mise à jour initiale de l’AWS CLI, vous devrez peut-être redémarrer votre terminal pour qu’il reconnaisse les mises à jour de PATH.

haut de la page

Exemple de texte d’erreur :

$ aws --version
command not found: aws

Si la commande aws est introuvable après l’installation ou la mise à jour initiale de l’AWS CLI, il se peut que celle-ci n’ait pas été complètement installée. Essayez de la réinstaller en suivant les étapes correspondant à votre plateforme dans Installation, mise à jour et désinstallation de l’ AWS CLI.

haut de la page

Si la commande aws est introuvable après l’installation ou la mise à jour initiale de l’AWS CLI sous Linux, il se peut qu’elle ne dispose pas des autorisations execute nécessaires sur le dossier dans lequel elle est installée. Exécutez la commande suivante avec la variable PATH de l’installation de l’AWS CLI, afin d’accorder des autorisations chmod à l’AWS CLI :

$ sudo chmod -R 755 /usr/local/aws-cli/

haut de la page

Exemple de texte d’erreur :

$ aws --version
command not found: aws

Vous allez peut-être devoir ajouter le fichier exécutable aws à la variable d’environnement PATH de votre système d’exploitation. Pour ajouter l’AWS CLI à votre variable PATH, suivez les instructions relatives à votre système d’exploitation.

Si la commande aws affiche une version incorrecte, vous devrez peut-être redémarrer votre terminal pour qu’il reconnaisse les mises à jour de la variable PATH. Tous les terminaux ouverts doivent être fermés, pas seulement votre terminal actif.

haut de la page

Si la commande aws affiche une version incorrecte et que le redémarrage du terminal ne fonctionne pas, vous devrez peut-être redémarrer votre système pour qu’il reconnaisse les mises à jour de la variable PATH.

haut de la page

Si vous avez mis à jour l’AWS CLI et utilisé une méthode d’installation différente de celle de votre installation préexistante, plusieurs versions peuvent être installées. Par exemple, si sur Linux ou macOS, vous avez utilisé pip pour votre installation actuelle, et que vous avez essayé de procéder à la mise à jour à l’aide du fichier d’installation .pkg, cela peut provoquer des conflits, en particulier si PATH pointe vers l’ancienne version.

Pour résoudre ce problème, désinstallez toutes les versions de l’AWS CLI et effectuez une nouvelle installation.

Après avoir désinstallé toutes les versions, suivez les instructions propres à votre système d’exploitation pour installer la version souhaitée de l’AWS CLI version 1 ou de l’AWS CLI version 2.

haut de la page

Si la commande aws --version affiche encore un résultat, vous devrez peut-être redémarrer votre terminal pour qu’il reconnaisse les mises à jour du terminal.

haut de la page

La désinstallation de l’AWS CLI peut ne pas être correcte si vous l’avez désinstallée en utilisant une méthode différente de celle que vous avez utilisée pour l’installer, ou si vous avez installé plusieurs versions de l’AWS CLI. Par exemple, si vous avez utilisé pip pour votre installation actuelle, vous devez utiliser pip pour la désinstallation. Pour résoudre ce problème, désinstallez l’AWS CLI en usant la même méthode que celle utilisée pour l’installation.

haut de la page

Étant donné que l’AWS CLI est basée sur Python, l’AWS CLI utilise la bibliothèque argparse de Python, y compris l’argument allow_abbrev. Les abréviations des paramètres sont reconnues par l’AWS CLI et traitées.

L’exemple de commande create-change-set suivant modifie le nom de la pile CloudFormation. Le paramètre --change-set-n est reconnu comme une abréviation de --change-set-name, et l’AWS CLI traite la commande.

$ aws cloudformation create-change-set --stack-name my-stack --change-set-n my-change-set

Lorsque votre abréviation peut correspondre à plusieurs commandes, le paramètre n’est pas reconnu comme une abréviation.

L’exemple de commande create-change-set suivant modifie le nom de la pile CloudFormation. Le paramètre --change-set- n’est pas reconnu comme une abréviation, car il pourrait s’agir de l’abréviation de plusieurs paramètres, comme --change-set-name et --change-set-type. Par conséquent, l’AWS CLI ne traite pas la commande.

$ aws cloudformation create-change-set --stack-name my-stack --change-set- my-change-set

$ aws ec2 describe-vpc-peering-connections \
    --filters Name=tag:TagName,Values=VpcPeeringConnection \
    --filter Name=status-code,Values=active 

haut de la page

Sous Linux ou macOS, assurez-vous que le programme aws dispose des autorisations d’exécution pour l’utilisateur appelant. En général, les autorisations sont définies sur 755.

Pour ajouter l’autorisation d’exécution pour votre utilisateur, exécutez la commande suivante, en remplaçant ~/.local/bin/aws par le chemin d’accès au programme sur votre ordinateur :

$ chmod +x ~/.local/bin/aws

haut de la page

Exemple de texte d’erreur :

$ aws s3 ls
An error occurred (AcessDenied) when calling the ListBuckets operation: Access denied.

Lorsque vous exécutez une commande de l’AWS CLI, les opérations AWS sont effectuées en votre nom, à l’aide d’informations d’identification qui vous associent à un compte ou un rôle IAM. Les politiques attachées doivent vous accorder l’autorisation d’appeler les actions d’API qui correspondent aux commandes que vous exécutez avec l’AWS CLI.

La plupart des commandes appellent une seule action avec un nom correspondant au nom de la commande. Cependant, les commandes personnalisées comme aws s3 sync appellent plusieurs API. Vous pouvez voir quelles API sont appelées par une commande à l’aide de l’option --debug.

Si vous êtes sûr que l’utilisateur ou le rôle dispose des autorisations requises attribuées via une politique, assurez-vous que votre commande de l’AWS CLI utilise les informations d’identification attendues. Consultez la section suivante sur les informations d’identification pour vérifier que les informations d’identification utilisées par l’AWS CLI sont celles que vous attendez.

Pour plus d’informations sur l’attribution d’autorisations IAM, consultez Présentation de la gestion des accès : autorisations et stratégies dans le Guide de l’utilisateur IAM.

haut de la page

Il est possible que l’AWS CLI lise des informations d’identification à un endroit différent de celui prévu ou que les informations relatives à votre paire de clés soient incorrectes. Vous pouvez exécuter aws configure list pour confirmer quelles informations d’identification sont utilisées.

L’exemple suivant montre comment vérifier les informations d’identification utilisées pour le profil par défaut.

$ aws configure list
      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile                <not set>             None    None
access_key     ****************ABCD  shared-credentials-file    
secret_key     ****************ABCD  shared-credentials-file    
    region                us-west-2             env    AWS_DEFAULT_REGION

L’exemple suivant montre comment vérifier les informations d’identification utilisées pour un profil nommé.

$ aws configure list
      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile                <not set>             None    None
access_key     ****************ABCD  shared-credentials-file    
secret_key     ****************ABCD  shared-credentials-file    
    region                us-west-2             env    AWS_DEFAULT_REGION

Pour confirmer les détails de votre paire de clés, consultez vos fichiers config et credentials. Pour plus d’informations sur les fichiers config et credentials, consultez Paramètres des fichiers de configuration et d’informations d’identification dans l’AWS CLI. Pour plus d’informations sur les informations d’identification et l’authentification, y compris la priorité des informations d’identification, consultez Authentification et informations d’identification d’accès pour l’AWS CLI.

haut de la page

Si vous utilisez des informations d’identification valides, l’erreur peut être due à un défaut de synchronisation de l’horloge. Sur Linux ou macOS, exécutez date pour vérifier l’heure.

$ date

Si l’horloge de votre système n’est pas exacte en quelques minutes, utilisez ntpd pour la synchroniser.

$ sudo service ntpd stop
$ sudo ntpdate time.nist.gov
$ sudo service ntpd start
$ ntpstat

Sous Windows, utilisez les options de date et d’heure du Panneau de configuration pour configurer votre horloge système.

haut de la page

Pour vous aider à vous protéger contre les attaques par relecture, l’heure actuelle peut être utilisée pendant le processus de chiffrement/déchiffrement. Si la différence d’heure entre le client et le serveur est supérieure à la valeur autorisée, le processus peut échouer et la demande est rejetée. Cela peut également se produire lorsque vous exécutez une commande dans une machine virtuelle dont l’horloge est désynchronisée par rapport à l’horloge de la machine hôte. Parmi les causes possibles, on peut citer le cas où la machine virtuelle est en veille prolongée et prend un certain temps après le réveil pour synchroniser son horloge avec la machine hôte.

Sur Linux ou macOS, exécutez date pour vérifier l’heure.

$ date

Si l’horloge de votre système n’est pas exacte en quelques minutes, utilisez ntpd pour la synchroniser.

$ sudo service ntpd stop
$ sudo ntpdate time.nist.gov
$ sudo service ntpd start
$ ntpstat

Sous Windows, utilisez les options de date et d’heure du Panneau de configuration pour configurer votre horloge système.

haut de la page

Si vos clés AWS comprennent certains caractères spéciaux, tels que -, +, / ou %, certaines variantes du système d’exploitation traitent la chaîne de façon incorrecte et provoquent une interprétation erronée de la chaîne de clé.

Si vous traitez vos clés avec d’autres outils ou scripts, tels que des outils qui créent le fichier d’informations d’identification sur une nouvelle instance dans le cadre de la création de celle-ci, ces outils et scripts peuvent disposer de leur propre gestion des caractères spéciaux et les transformer en quelque chose qui n’est plus reconnu par AWS.

Nous vous suggérons de régénérer la clé secrète pour obtenir une clé qui n’inclut aucun caractère spécial à l’origine des problèmes.

haut de la page

Exemple de texte d’erreur :

$ aws s3 ls
[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed

Lorsque vous utilisez une commande AWS CLI, vous recevez un message d’erreur [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed. Cela est dû au fait que l’AWS CLI n’accorde aucune confiance au certificat de votre proxy en raison de facteurs comme le fait que le certificat de votre proxy est autosigné ou que votre entreprise est définie comme autorité de certification (CA). L’AWS CLI ne peut par conséquent pas trouver le certificat racine de l’autorité de certification de votre entreprise dans le registre local de l’autorité de certification.

Pour résoudre ce problème, indiquez à l’AWS CLI où trouver le fichier .pem de votre entreprise à l’aide du paramètre de fichier de configuration ca_bundle, de l’option de ligne de commande --ca-bundle ou de la variable d’environnement AWS_CA_BUNDLE.

haut de la page

Exemple de texte d’erreur :

$ aws s3 ls
SSL validation failed for regionname [Errno 2] No such file or directory

Cela est dû au fait que l’emplacement du fichier de votre bundle d’autorité de certification (CA) n’est pas correctement configuré dans l’AWS CLI. Pour résoudre ce problème, confirmez où se trouve le fichier .pem de votre entreprise et mettez à jour la configuration de l’AWS CLI à l’aide du paramètre de fichier de configuration ca_bundle, de l’option de ligne de commande --ca-bundle ou de la variable d’environnement AWS_CA_BUNDLE.

haut de la page

Exemple de texte d’erreur :

$ aws s3 ls
[SSL: CERTIFICATE_ VERIFY_FAILED] certificate verify failed

Des erreurs ou des résultats inattendus peuvent se produire si un Service AWS n’est pas disponible pour la Région AWS que vous avez spécifiée ou si vos ressources se trouvent dans une autre Région AWS. Pour obtenir les étapes de dépannage, consultez Vérifiez la Région AWS utilisée par votre commande d’AWS CLI..

haut de la page

Exemple de texte d’erreur :

$ aws s3 ls
[SSL: UNSAFE_LEGACY_RENEGOTIATION_DISABLED] unsafe legacy renegotiation disabled

L’Service AWS utilise une version de TLS incompatible avec la version TLS de votre appareil. Pour résoudre ce problème, procédez à une mise à niveau vers une version TLS prise en charge. Pour plus d’informations, consultez Application d’une version minimale de TLS pour l’AWS CLI.

haut de la page

Vérifiez que vous avez saisi un code JSON valide pour votre commande. Nous vous suggérons d’utiliser un validateur JSON pour les fichiers JSON pour lesquels vous rencontrez des problèmes de formatage.

Pour une utilisation plus avancée du JSON dans la ligne de commande, pensez à utiliser un processeur JSON de ligne de commande, par exemple jq, pour créer des chaînes JSON. Pour plus d’informations sur jq, consultez le référentiel jq sur GitHub.

haut de la page

Avant que l’AWS CLI reçoive quoi que ce soit d’une commande, votre terminal traite la commande en utilisant ses propres règles de guillemets et d’échappement. En raison des règles de formatage d’un terminal, une partie de votre contenu JSON peut être supprimée avant que la commande ne soit transmise à l’AWS CLI. Lorsque vous formulez des commandes, veillez à utiliser les règles de guillemets de votre terminal.

Pour résoudre le problème, utilisez la commande echo pour voir comment le shell gère vos paramètres :

$ echo {"ReadCapacityUnits":15,"WriteCapacityUnits":10}
ReadCapacityUnits:15 WriteCapacityUnits:10

$ echo '{"ReadCapacityUnits":15,"WriteCapacityUnits":10}'
{"ReadCapacityUnits":15,"WriteCapacityUnits":10}

Modifiez votre commande jusqu’à ce que votre JSON valide soit renvoyé.

Pour un dépannage plus approfondi, utilisez le paramètre --debug pour afficher les journaux de débogage, car ils afficheront exactement ce qui a été transmis à l’AWS CLI :

$ aws dynamodb update-table \
    --provisioned-throughput '{"ReadCapacityUnits":15,WriteCapacityUnits":10}' \
    --table-name MyDDBTable \
    --debug
2022-07-19 22:25:07,741 - MainThread - awscli.clidriver - DEBUG - CLI version: aws-cli/1.18.147 
Python/2.7.18 Linux/5.4.196-119.356.amzn2int.x86_64 botocore/1.18.6
2022-07-19 22:25:07,741 - MainThread - awscli.clidriver - DEBUG - Arguments entered to CLI: 
['dynamodb', 'update-table', '--provisioned-throughput', '{"ReadCapacityUnits":15,WriteCapacityUnits":10}',
 '--table-name', 'MyDDBTable', '--debug']

Utilisez les règles de guillemets de votre terminal pour résoudre les problèmes rencontrés par votre entrée JSON lorsqu’elle est envoyée à l’AWS CLI. Pour plus d’informations sur les règles de guillemets, consultez Utilisation de guillemets et de littéraux avec des chaînes dans l’AWS CLI.

haut de la page