Problème RunBooks

La section suivante décrit les problèmes susceptibles de survenir, explique comment les détecter et propose des suggestions pour les résoudre.

Problèmes d'installation

........................

CloudFormationla pile ne parvient pas à être créée avec le message « message d'échec WaitCondition reçu ». Error:States.TaskFailed»

Pour identifier le problème, examinez le groupe de CloudWatch journaux Amazon nommé<stack-name>-InstallerTasksCreateTaskDefCreateContainerLogGroup<nonce>-<nonce>. S'il existe plusieurs groupes de journaux portant le même nom, examinez le premier disponible. Un message d'erreur dans les journaux fournira plus d'informations sur le problème.

........................

Notification par e-mail non reçue aprèsCloudFormationpiles créées avec succès

Si aucune invitation par e-mail n'a été reçue après la création réussie des CloudFormation piles, vérifiez les points suivants :

........................

Instances en cycle ou contrôleur VDC en état d'échec

La cause la plus probable de ce problème est l'incapacité des ressources à se connecter ou à rejoindre Active Directory.

Si le statut est inactif, en échec ou si des erreurs apparaissent dans les journaux, cela signifie que l'instance n'a pas pu rejoindre Active Directory.

Journal des erreurs SSM

Le problème peut avoir l'une des trois causes profondes possibles.

+ local AD_AUTHORIZATION_ENTRY=
+ [[ -z '' ]]
+ [[ 0 -le 180 ]]
+ local SLEEP_TIME=34
+ log_info '(0 of 180) waiting for AD authorization, retrying in 34 seconds ...'
++ date '+%Y-%m-%d %H:%M:%S,%3N'
+ echo '[2024-01-16 22:02:19,802] [INFO] (0 of 180) waiting for AD authorization, retrying in 34 seconds ...'
[2024-01-16 22:02:19,802] [INFO] (0 of 180) waiting for AD authorization, retrying in 34 seconds ...
+ sleep 34
+ (( ATTEMPT_COUNT++ ))

........................

La CloudFormation pile d'environnements ne parvient pas à être supprimée en raison d'une erreur d'objet dépendant

Si la suppression de la <env-name>-vdc CloudFormation pile échoue en raison d'une erreur d'objet dépendant telle que lavdcdcvhostsecuritygroup, cela peut être dû à une instance Amazon EC2 lancée dans un RES-created sous-réseau ou un groupe de sécurité à l'aide de la console. AWS

Pour résoudre le problème, recherchez et mettez fin à toutes les instances Amazon EC2 lancées de cette manière. Vous pouvez ensuite reprendre la suppression de l'environnement.

........................

Erreur rencontrée pour le paramètre de bloc CIDR lors de la création de l'environnement

Lors de la création d'un environnement, une erreur apparaît pour le paramètre de bloc CIDR avec un statut de réponse de [FAILED].

Exemple d'erreur :

Failed to update cluster prefix list: 
        An error occurred (InvalidParameterValue) when calling the ModifyManagedPrefixList operation: 
        The specified CIDR (52.94.133.132/24) is not valid. For example, specify a CIDR in the following form: 10.0.0.0/16.

Pour résoudre le problème, le format attendu est x.x.x. 0/24 ou x.x.x. 0/32

........................

CloudFormation échec de création de pile lors de la création de l'environnement

La création d'un environnement implique une série d'opérations de création de ressources. Dans certaines régions, un problème de capacité peut survenir et entraîner l'échec de la création d'une CloudFormation pile.

Dans ce cas, supprimez l'environnement et réessayez de le créer. Vous pouvez également réessayer la création dans une autre région.

........................

La création d'une pile de ressources externes (démo) échoue avec AdDomainAdminNode CREATE_FAILED

Si la création de la pile d'environnement de démonstration échoue avec l'erreur suivante, cela peut être dû au fait que l'application de correctifs Amazon EC2 s'est produite de manière inattendue lors du provisionnement après le lancement de l'instance.

AdDomainAdminNode CREATE_FAILED  Failed to receive 1 resource signal(s) within the specified duration

Si le problème est dû à l'application de correctifs, retardez l'application des correctifs pour les instances RES au moins 15 minutes après le lancement.

........................

Problèmes liés à la gestion des identités

La plupart des problèmes liés à l'authentification unique (SSO) et à la gestion des identités sont dus à une mauvaise configuration. Pour plus d'informations sur la configuration de votre configuration SSO, voir :

Pour résoudre d'autres problèmes liés à la gestion des identités, consultez les rubriques de résolution des problèmes suivantes :

........................

Je ne suis pas autorisé à effectuer iam : PassRole

Si vous recevez un message d'erreur indiquant que vous n'êtes pas autorisé à exécuter l'PassRole action iam :, vos politiques doivent être mises à jour pour vous permettre de transmettre un rôle à RES.

Certains AWS services vous permettent de transmettre un rôle existant à ce service au lieu de créer un nouveau rôle de service ou un rôle lié à un service. Pour ce faire, vous devez disposer des autorisations nécessaires pour transmettre le rôle au service.

L'exemple d'erreur suivant se produit lorsqu'un utilisateur IAM nommé marymajor essaie d'utiliser la console pour effectuer une action dans RES. Toutefois, l’action nécessite que le service ait des autorisations accordées par un rôle de service. Mary n'est pas autorisée à transmettre le rôle au service.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

Dans ce cas, les politiques de Mary doivent être mises à jour pour lui permettre d'effectuer l'PassRole action iam :. Si vous avez besoin d'aide, contactez votre AWS administrateur. Votre administrateur vous a fourni vos informations d’identification de connexion.

........................

Je souhaite autoriser des personnes extérieures à monAWScompte pour accéder à mon studio de recherche et d'ingénierie surAWSresources

Vous pouvez créer un rôle que les utilisateurs provenant d’autres comptes ou les personnes extérieures à votre organisation pourront utiliser pour accéder à vos ressources. Vous pouvez spécifier qui est autorisé à assumer le rôle. Pour les services qui prennent en charge les politiques basées sur les ressources ou les listes de contrôle d’accès (ACL), vous pouvez utiliser ces politiques pour donner l’accès à vos ressources.

Pour plus d’informations, consultez les éléments suivants :

........................

Lorsque je me connecte à l'environnement, je reviens immédiatement à la page de connexion

Ce problème se produit lorsque votre intégration SSO est mal configurée. Pour déterminer le problème, consultez les journaux de l'instance du contrôleur et vérifiez que les paramètres de configuration ne contiennent pas d'erreurs.

........................

Erreur « Utilisateur introuvable » lors de la tentative de connexion

Si un utilisateur reçoit le message d'erreur « Utilisateur introuvable » lorsqu'il essaie de se connecter à l'interface RES, alors que l'utilisateur est présent dans Active Directory :

........................

Utilisateur ajouté dans Active Directory, mais absent de RES

Si vous avez ajouté un utilisateur à Active Directory mais qu'il est absent de RES, la synchronisation AD doit être déclenchée. La synchronisation AD est effectuée toutes les heures par une fonction Lambda qui importe des entrées AD dans l'environnement RES. Parfois, il y a un délai avant l'exécution du prochain processus de synchronisation après l'ajout de nouveaux utilisateurs ou groupes. Vous pouvez lancer la synchronisation manuellement depuis le service Amazon Simple Queue.

........................

Utilisateur non disponible lors de la création d'une session

Si vous êtes un administrateur qui crée une session, mais que vous constatez qu'un utilisateur figurant dans Active Directory n'est pas disponible lors de la création d'une session, il se peut que l'utilisateur doive se connecter pour la première fois. Les sessions ne peuvent être créées que pour les utilisateurs actifs. Les utilisateurs actifs doivent se connecter à l'environnement au moins une fois.

........................

Erreur de dépassement de la limite de taille dans le journal du gestionnaire de CloudWatch clusters

2023-10-31T18:03:12.942-07:00 ldap.SIZELIMIT_EXCEEDED: {'msgtype': 100, 'msgid': 11, 'result': 4, 'desc': 'Size limit exceeded', 'ctrls': []}

Si vous recevez cette erreur dans le journal du CloudWatch gestionnaire de clusters, la recherche LDAP a peut-être renvoyé trop d'enregistrements utilisateur. Pour résoudre ce problème, augmentez la limite de résultats de recherche LDAP de votre fournisseur de services Internet.

........................

Stockage

........................

J'ai créé le système de fichiers via RES mais il ne se monte pas sur les hôtes VDI

Les systèmes de fichiers doivent être dans l'état « Disponible » avant de pouvoir être montés par des hôtes VDI. Suivez les étapes ci-dessous pour vérifier que le système de fichiers est dans l'état requis.

Amazon EFS

Amazon FSx ONTAP

........................

J'ai intégré un système de fichiers via RES mais il ne se monte pas sur les hôtes VDI

Les systèmes de fichiers intégrés à RES doivent avoir les règles de groupe de sécurité requises configurées pour permettre aux hôtes VDI de monter les systèmes de fichiers. Ces systèmes de fichiers étant créés en externe à RES, RES ne gère pas les règles de groupe de sécurité associées.

Le groupe de sécurité associé aux systèmes de fichiers intégrés doit autoriser le trafic entrant suivant :

........................

Je ne parviens pas à read/write le faire à partir d'hôtes VDI

ONTAP prend en charge les styles de sécurité UNIX, NTFS et MIXED pour les volumes. Les styles de sécurité déterminent le type d'autorisations qu'ONTAP utilise pour contrôler l'accès aux données et le type de client qui peut modifier ces autorisations.

Par exemple, si un volume utilise le style de sécurité UNIX, les clients SMB peuvent toujours accéder aux données (à condition qu'ils s'authentifient et autorisent correctement) en raison de la nature multiprotocole d'ONTAP. ONTAP utilise toutefois des autorisations UNIX que seuls les clients UNIX peuvent modifier à l'aide d'outils natifs.

Exemples de cas d'utilisation relatifs à la gestion des autorisations

Utilisation d'un volume de style UNIX avec des charges de travail Linux

Les autorisations peuvent être configurées par le sudoer pour les autres utilisateurs. Par exemple, ce qui suit accorderait à tous les membres des read/write autorisations <group-ID> complètes sur le /<project-name> répertoire :

sudo chown root:<group-ID> /<project-name>
sudo chmod 770 /<project-name>

Utilisation d'un volume de style NTFS avec des charges de travail Linux et Windows

Les autorisations de partage peuvent être configurées à l'aide des propriétés de partage d'un dossier spécifique. Par exemple, pour un utilisateur user_01 et un dossiermyfolder, vous pouvez définir des autorisations de Full ControlChange, ou Read pour Allow ou Deny :

Si le volume doit être utilisé à la fois par des clients Linux et Windows, nous devons configurer un mappage de noms sur la SVM qui associera tout nom d'utilisateur Linux au même nom d'utilisateur au format de nom de domaine NetBIOS de domaine \ nom d'utilisateur. Cela est nécessaire pour traduire entre les utilisateurs de Linux et de Windows. Pour référence, voir Activation des charges de travail multiprotocoles avec Amazon FSx for ONTAP. NetApp

........................

J'ai créé Amazon FSx pour NetApp ONTAP à partir de RES, mais il n'a pas rejoint mon domaine

Actuellement, lorsque vous créez Amazon FSx pour NetApp ONTAP à partir de la console RES, le système de fichiers est provisionné mais il ne rejoint pas le domaine. Pour associer la SVM du système de fichiers ONTAP créée à votre domaine, consultez Joindre des SVM à un Microsoft Active Directory et suivez les étapes indiquées sur la console Amazon FSx. Assurez-vous que les autorisations requises sont déléguées au compte de service Amazon FSx dans AD. Une fois que la SVM a rejoint le domaine avec succès, allez dans Résumé de la SVM > Points de terminaison > Nom DNS SMB et copiez le nom DNS car vous en aurez besoin ultérieurement.

Une fois qu'elle est jointe au domaine, modifiez la clé de configuration DNS SMB dans le tableau DynamoDB des paramètres du cluster :

En outre, assurez-vous que le groupe de sécurité associé au système de fichiers autorise le trafic conformément aux recommandations de la section Contrôle d'accès au système de fichiers avec Amazon VPC. Les nouveaux hôtes VDI qui utilisent le système de fichiers pourront désormais monter la SVM et le système de fichiers joints au domaine.

Vous pouvez également intégrer un système de fichiers existant déjà joint à votre domaine à l'aide de la fonctionnalité RES Onboard File System. Dans Gestion de l'environnement, sélectionnez Systèmes de fichiers, Système de fichiers intégré.

........................

Instantanés

........................

Un instantané a le statut Echoué

Sur la page RES Snapshots, si un instantané a le statut Echec, vous pouvez en déterminer la cause en accédant au groupe de CloudWatch journaux Amazon du gestionnaire de clusters au moment où l'erreur s'est produite.

[2023-11-19 03:39:20,208] [INFO] [snapshots-service] creating snapshot in S3 Bucket:
  asdf at path s31
[2023-11-19 03:39:20,381] [ERROR] [snapshots-service] An error occurred while
  creating the snapshot: An error occurred (TableNotFoundException)
  when calling the UpdateContinuousBackups operation: 
  Table not found: res-demo.accounts.sequence-config 

........................

Un instantané ne s'applique pas avec des journaux indiquant que les tables n'ont pas pu être importées.

Si un instantané pris à partir d'un environnement précédent ne s'applique pas dans un nouvel environnement, consultez les CloudWatch journaux du gestionnaire de clusters pour identifier le problème. Si le problème indique que les tables requises ne peuvent pas être importées, vérifiez que l'instantané est dans un état valide.

........................

Infrastructures

........................

Groupes cibles d'équilibreur de charge dépourvus d'instances saines

Si des problèmes tels que des messages d'erreur du serveur apparaissent dans l'interface utilisateur ou si les sessions de bureau ne peuvent pas se connecter, cela peut indiquer un problème dans l'infrastructure des instances Amazon EC2.

Les méthodes permettant de déterminer la source du problème consistent à vérifier d'abord la console Amazon EC2 pour détecter toute instance Amazon EC2 qui semble se terminer à plusieurs reprises et être remplacée par de nouvelles instances. Si tel est le cas, la vérification des CloudWatch journaux Amazon peut en déterminer la cause.

Une autre méthode consiste à vérifier les équilibreurs de charge du système. Le fait que les équilibreurs de charge trouvés sur la console Amazon EC2 n'affichent aucune instance saine enregistrée indique qu'il peut y avoir des problèmes système.

Voici un exemple d'apparence normale :

Si l'entrée Healthy est 0, cela indique qu'aucune instance Amazon EC2 n'est disponible pour traiter les demandes.

Si l'entrée Unhealthy n'est pas égale à 0, cela indique qu'une instance Amazon EC2 est peut-être en cours de cycle. Cela peut être dû au fait que le logiciel d'application installé ne passe pas les tests de santé.

Si les entrées saines et malsaines sont toutes deux égales à 0, cela indique une erreur de configuration potentielle du réseau. Par exemple, les sous-réseaux public et privé peuvent ne pas avoir de zone de disponibilité correspondante. Dans ce cas, un texte supplémentaire peut apparaître sur la console indiquant que l'état du réseau existe.

........................

Lancement de bureaux virtuels

........................

Le compte de connexion pour Windows Virtual Desktop est défini sur Administrateur

Si vous parvenez à lancer un bureau virtuel Windows sur le portail Web RES mais que son compte de connexion est défini sur Administrateur lorsque vous vous connectez, votre Windows VDI n'a peut-être pas rejoint Active Directory avec succès.

Pour vérifier, connectez-vous à l'instance Windows depuis la console Amazon EC2 et consultez les journaux de démarrage ci-dessous. C:\Users\Administrator\RES\Bootstrap\virtual-desktop-host-windows\ Un message d'erreur commençant par [Join AD] authorization failed: indique que l'instance n'a pas réussi à rejoindre l'AD. Vérifiez que le gestionnaire de clusters se connecte CloudWatch sous le nom du groupe de journaux /<res-environment-name>/cluster-manager pour plus de détails sur l'échec :

........................

Le certificat expire lors de l'utilisation d'une ressource externe CertificateRenewalNode

Si vous avez déployé la recette des ressources externes et que vous rencontrez une erreur indiquant "The connection has been closed. Transport error" que vous vous connectez aux VDI Linux, la cause la plus probable est un certificat expiré qui n'est pas automatiquement actualisé en raison d'un chemin d'installation pip incorrect sous Linux. Les certificats expirent au bout de 3 mois.

Le groupe de CloudWatch log Amazon <envname>/vdc/dcv-connection-gateway peut enregistrer l'erreur de tentative de connexion avec des messages similaires aux suivants :

| 2024-07-29T21:46:02.651Z | Jul 29 21:46:01.702  WARN HTTP:Splicer Connection{id=341 client_address="x.x.x.x:50682"}: Error in connection task: TLS handshake error: received fatal alert: CertificateUnknown | redacted:/res-demo/vdc/dcv-connection-gateway | dcv-connection-gateway_10.3.146.195 |
| 2024-07-29T21:46:02.651Z | Jul 29 21:46:01.702  WARN HTTP:Splicer Connection{id=341 client_address="x.x.x.x:50682"}: Certificate error: AlertReceived(CertificateUnknown) | redacted:/res-demo/vdc/dcv-connection-gateway | dcv-connection-gateway_10.3.146.195 | 

........................

Un bureau virtuel qui fonctionnait auparavant ne peut plus se connecter correctement

Si une connexion de bureau se ferme ou si vous ne pouvez plus vous y connecter, le problème peut être dû à la défaillance de l'instance Amazon EC2 sous-jacente ou à la résiliation ou à l'arrêt de l'instance Amazon EC2 en dehors de l'environnement RES. L'état de l'interface utilisateur d'administration peut continuer à indiquer qu'il est prêt, mais les tentatives de connexion échouent.

La console Amazon EC2 doit être utilisée pour déterminer si l'instance a été résiliée ou arrêtée. En cas d'arrêt, essayez de le redémarrer. Si l'état est résilié, un autre bureau devra être créé. Toutes les données stockées dans le répertoire personnel de l'utilisateur doivent toujours être disponibles au démarrage de la nouvelle instance.

Si l'instance qui a échoué précédemment apparaît toujours dans l'interface utilisateur d'administration, il peut être nécessaire de la fermer à l'aide de l'interface utilisateur d'administration.

........................

Je ne peux lancer que 5 bureaux virtuels

La limite par défaut du nombre de bureaux virtuels qu'un utilisateur peut lancer est de 5. Cela peut être modifié par un administrateur à l'aide de l'interface utilisateur d'administration comme suit :

........................

Les tentatives de connexion Windows pour ordinateur de bureau échouent avec le message « La connexion a été fermée ». Erreur de transport »

Si une connexion de bureau Windows échoue avec le message d'erreur « La connexion a été fermée » s'affiche dans l'interface utilisateur. « Erreur de transport », la cause peut être due à un problème dans le logiciel du serveur DCV lié à la création de certificats sur l'instance Windows.

Le groupe de CloudWatch log Amazon <envname>/vdc/dcv-connection-gateway peut enregistrer l'erreur de tentative de connexion avec des messages similaires aux suivants :

Nov 24 20:24:27.631 DEBUG HTTP:Splicer Connection{id=9}:
Websocket{session_id="1291e75f-7816-48d9-bbb2-7371b3b911cd"}:
Resolver lookup{client_ip=Some(52.94.36.19) 
session_id="1291e75f-7816-48d9-bbb2-7371b3b911cd"
 protocol_type=WebSocket extension_data=None}:NoStrictCertVerification: 
 Additional stack certificate (0): [s/n: 0E9E9C4DE7194B37687DC4D2C0F5E94AF0DD57E]

Nov 24 20:25:15.384  INFO HTTP:Splicer Connection{id=21}:Websocket{
session_id="d1d35954-f29d-4b3f-8c23-6a53303ebc3f"}: 
Connection initiated error: unreachable, server io error Custom { 
kind: InvalidData, error:
General("Invalid certificate: certificate has expired (code: 10)") }

Nov 24 20:25:15.384  WARN HTTP:Splicer Connection{id=21}:
Websocket{session_id="d1d35954-f29d-4b3f-8c23-6a53303ebc3f"}: 
Error in websocket connection: Server unreachable: Server error: IO error: 
unexpected error: Invalid certificate: certificate has expired (code: 10) 

Dans ce cas, une solution peut être d'utiliser le gestionnaire de session SSM pour ouvrir une connexion à l'instance Windows et supprimer les 2 fichiers relatifs aux certificats suivants :

PS C:\Windows\system32\config\systemprofile\AppData\Local\NICE\dcv> dir

    Directory: C:\Windows\system32\config\systemprofile\AppData\Local\NICE\dcv


Mode                LastWriteTime         Length Name
----                -------------         ------ ----
-a----         8/4/2022  12:59 PM           1704 dcv.key
-a----         8/4/2022  12:59 PM           1265 dcv.pem 

Les fichiers doivent être automatiquement recréés et une tentative de connexion ultérieure peut réussir.

Si cette méthode résout le problème et si les nouveaux lancements de postes de travail Windows produisent la même erreur, utilisez la fonction Create Software Stack pour créer une nouvelle pile logicielle Windows de l'instance fixe avec les fichiers de certificat régénérés. Cela peut produire une pile logicielle Windows qui peut être utilisée pour des lancements et des connexions réussis.

........................

Les VDI sont bloqués dans l'état de provisionnement

Si le lancement d'un poste de travail reste en état de provisionnement dans l'interface utilisateur d'administration, cela peut être dû à plusieurs raisons.

Pour en déterminer la cause, examinez les fichiers journaux de l'instance de bureau et recherchez les erreurs susceptibles d'être à l'origine du problème. Ce document contient une liste de fichiers journaux et de groupes de CloudWatch journaux Amazon contenant des informations pertinentes dans la section intitulée Sources d'informations utiles sur les journaux et les événements.

Les causes potentielles de ce problème sont les suivantes.

........................

Les VDI passent à l'état d'erreur après le lancement

........................

La session VDI passe à un écran vide après la connexion

Lorsqu'une session VDI de type session de console est vide et ne répond pas après votre connexion, cela signifie que le serveur X est en panne. Cela est probablement dû à un problème de système d'exploitation dans lequel DCV tente de diffuser sur le bureau, mais il n'y en a pas un à diffuser. La cause la plus probable est un problème lié à la configuration de Xorg. La commande suivante peut être exécutée pour s'appuyer moins sur la configuration par défaut de Xorg.

Linux basé sur Debian :

dpkg-divert --package nice-xdcv --divert /usr/bin/Xorg.orig --rename /usr/bin/Xorg ln -sf /usr/bin/Xdcv-console /usr/bin/Xorg 

Linux basé sur Red Hat :

rpm -q --whatprovides /usr/bin/Xorg && \
cp /usr/bin/Xorg /usr/bin/Xorg.orig && \
ln -sf /usr/bin/Xdcv-console /usr/bin/Xorg 

........................

Composant de bureau virtuel

........................

L'instance Amazon EC2 s'affiche à plusieurs reprises comme terminée dans la console

Si une instance d'infrastructure apparaît à plusieurs reprises comme étant terminée dans la console Amazon EC2, la cause peut être liée à sa configuration et dépendre du type d'instance d'infrastructure. Les méthodes suivantes permettent d'en déterminer la cause.

Si l'instance vdc-controller affiche des états de terminaison répétés dans la console Amazon EC2, cela peut être dû à une balise secrète incorrecte. Les secrets conservés par RES comportent des balises utilisées dans le cadre des politiques de contrôle d'accès IAM associées aux instances Amazon EC2 de l'infrastructure. Si le contrôleur vdc fonctionne en cycle et que l'erreur suivante apparaît dans le groupe de CloudWatch journaux, cela peut être dû au fait qu'un secret n'a pas été correctement étiqueté. Notez que le secret doit être marqué comme suit :

{
    "res:EnvironmentName": "<envname>" # e.g. "res-demo"
    "res:ModuleName": "virtual-desktop-controller"
} 

Le message du CloudWatch journal Amazon correspondant à cette erreur s'affichera comme suit :

An error occurred (AccessDeniedException) when calling the GetSecretValue
operation: User: arn:aws:sts::160215750999:assumed-role/<envname>-vdc-gateway-role-us-east-1/i-043f76a2677f373d0 
is not authorized to perform: secretsmanager:GetSecretValue on resource:
arn:aws:secretsmanager:us-east-1:160215750999:secret:Certificate-res-bi-Certs-5W9SPUXF08IB-F1sNRv 
because no identity-based policy allows the secretsmanager:GetSecretValue action 

Vérifiez les balises de l'instance Amazon EC2 et vérifiez qu'elles correspondent à la liste ci-dessus.

........................

L'instance vdc-controller est en cours de cycle car le module AD/eVDI ne parvient pas à rejoindre le module AD/eVDI et affiche un échec du contrôle de santé de l'API

Si le module eVDI échoue lors de son contrôle de santé, il affichera ce qui suit dans la section État de l'environnement.

Dans ce cas, le chemin général pour le débogage consiste à consulter les journaux du gestionnaire de clusters CloudWatch. (Recherchez le groupe de journaux nommé<env-name>/cluster-manager.)

Problèmes possibles :

........................

Le projet n'apparaît pas dans le menu déroulant lorsque vous modifiez la Suite logicielle pour l'ajouter

Ce problème peut être lié au problème suivant associé à la synchronisation du compte utilisateur avec AD. Si ce problème apparaît, vérifiez la présence de l'erreur <user-home-init> account not available yet. waiting for user to be synced « » dans le groupe de journaux CloudWatch Amazon du gestionnaire de clusters afin de déterminer si la cause est identique ou liée.

........................

Le journal CloudWatch Amazon du cluster-manager indique que < « le compte > user-home-init n'est pas encore disponible. En attente de synchronisation de l'utilisateur » (où le compte est un nom d'utilisateur)

L'abonné SQS est occupé et bloqué dans une boucle infinie car il ne peut pas accéder au compte utilisateur. Ce code est déclenché lorsque vous essayez de créer un système de fichiers personnel pour un utilisateur lors de la synchronisation utilisateur.

La raison pour laquelle il ne parvient pas à accéder au compte utilisateur peut être que RES n'a pas été configuré correctement pour l'AD utilisé. Par exemple, le ServiceAccountCredentialsSecretArn paramètre utilisé lors de la création de BI/RES l'environnement n'était pas la bonne valeur.

........................

Lors de la tentative de connexion, Windows Desktop indique « Votre compte a été désactivé. Veuillez consulter votre administrateur. »

Si l'utilisateur ne parvient pas à se reconnecter à un écran verrouillé, cela peut indiquer qu'il a été désactivé dans l'AD configuré pour RES après s'être connecté avec succès via SSO.

La connexion SSO devrait échouer si le compte utilisateur a été désactivé dans AD.

........................

Problèmes liés aux options DHCP avec la configuration external/customer AD

Si vous rencontrez un message d'erreur s'affichant "The connection has been closed. Transport error" avec les bureaux virtuels Windows lorsque vous utilisez RES avec votre propre Active Directory, consultez le journal CloudWatch Amazon de dcv-connection-gateway pour trouver quelque chose de similaire à ce qui suit :

Oct 28 00:12:30.626  INFO HTTP:Splicer Connection{id=263}:
Websocket{session_id="96cffa6e-cf2e-410f-9eea-6ae8478dc08a"}: Connection initiated error: unreachable, server io error Custom { kind: Uncategorized, error: "failed to lookup address information: Name or service not known" } 

Oct 28 00:12:30.626  WARN HTTP:Splicer Connection{id=263}: Websocket{session_id="96cffa6e-cf2e-410f-9eea-6ae8478dc08a"}: Error in websocket connection: Server unreachable: Server error: IO error: failed to lookup address information: Name or service not known
 
Oct 28 00:12:30.627 DEBUG HTTP:Splicer Connection{id=263}: ConnectionGuard dropped

Si vous utilisez un contrôleur de domaine AD pour vos options DHCP pour votre propre VPC, vous devez :

Un exemple est présenté ici. Sans cette configuration, le bureau Windows vous donnera une erreur de transport, car il RES/DCV recherche le nom d'hôte ip-10-0-x-xx.ec2.internal.

........................

Erreur Firefox MOZILLA_PKIX_ERROR_REQUIRED_TLS_FEATURE_MISSING

Lorsque vous utilisez le navigateur Web Firefox, le message d'erreur de type MOZILLA_PKIX_ERROR_REQUIRED_TLS_FEATURE_MISSING peut s'afficher lorsque vous essayez de vous connecter à un bureau virtuel.

Cela est dû au fait que le serveur Web RES est configuré avec TLS + Stapling On mais ne répond pas à la validation par agrafage (voir. https://support.mozilla.org/en-US/questions/1372483

Vous pouvez résoudre ce problème en suivant les instructions à l'adresse : https://really-simple-ssl.com/mozilla_pkix_error_required_tls_feature_missing.

........................

Suppression d'environnements

........................

res-xxx-cluster est dans l'état « DELETE_FAILED » et ne peut pas être supprimée manuellement en raison de l'erreur « Le rôle n'est pas valide ou ne peut pas être assumé »

Si vous remarquez que la pile « res-xxx-cluster » est dans l'état « DELETE_FAILED » et ne peut pas être supprimée manuellement, vous pouvez effectuer les étapes suivantes pour la supprimer.

Si vous voyez la pile dans un état « DELETE_FAILED », essayez d'abord de la supprimer manuellement. Une boîte de dialogue confirmant Delete Stack peut s'afficher. Sélectionnez Delete (Supprimer).

Parfois, même si vous supprimez toutes les ressources de pile requises, vous pouvez toujours voir le message vous demandant de sélectionner les ressources à conserver. Dans ce cas, sélectionnez toutes les ressources comme « ressources à conserver » et choisissez Supprimer.

Vous pouvez voir un message d'erreur qui ressemble à Role: arn:aws:iam::... is Invalid or cannot be assumed

Cela signifie que le rôle requis pour supprimer la pile a été supprimé avant la pile. Pour contourner ce problème, copiez le nom du rôle. Accédez à la console IAM et créez un rôle portant ce nom à l'aide des paramètres indiqués ici, à savoir :

Choisissez Suivant. Assurez-vous d'accorder les autorisations aux rôles AWSCloudFormationFullAccess « » et AdministratorAccess « ». Votre page d'évaluation doit ressembler à ceci :

Retournez ensuite sur la CloudFormation console et supprimez la pile. Vous devriez maintenant être en mesure de le supprimer depuis que vous avez créé le rôle. Enfin, accédez à la console IAM et supprimez le rôle que vous avez créé.

........................

Collecte de journaux

Connexion à une instance EC2 depuis la console EC2

Collecte des journaux des hôtes de l'infrastructure

L'un des moyens d'obtenir facilement les journaux est de suivre les instructions de la Téléchargement de journaux depuis des instances Linux EC2 section. Le nom du module serait le nom de l'instance.

Collecte des journaux VDI

........................

Téléchargement des journaux VDI

........................

Téléchargement de journaux depuis des instances Linux EC2

Connectez-vous à l'instance EC2 à partir de laquelle vous souhaitez télécharger les journaux et exécutez les commandes suivantes pour télécharger tous les journaux dans un compartiment s3 :

sudo su -
ENV_NAME=<environment_name>
REGION=<region>
ACCOUNT=<aws_account_number>
MODULE=<module_name>

cd /root/bootstrap
tar -czvf ${MODULE}_logs.tar.gz logs/ --overwrite
aws s3 cp ${MODULE}_logs.tar.gz s3://${ENV_NAME}-cluster-${REGION}-${ACCOUNT}/${MODULE}_logs.tar.gz 

Ensuite, accédez à la console S3, sélectionnez le bucket avec son nom <environment_name>-cluster-<region>-<aws_account_number> et téléchargez le <module_name>_logs.tar.gz fichier précédemment téléchargé.

........................

Téléchargement de journaux à partir d'instances Windows EC2

Connectez-vous à l'instance EC2 à partir de laquelle vous souhaitez télécharger les journaux et exécutez les commandes suivantes pour télécharger tous les journaux dans un compartiment S3 :

$ENV_NAME="<environment_name>"
$REGION="<region>"
$ACCOUNT="<aws_account_number>"
$MODULE="<module_name>"

$logDirPath = Join-Path -Path $env:SystemDrive -ChildPath "Users\Administrator\RES\Bootstrap\Log"
$zipFilePath = Join-Path -Path $env:TEMP -ChildPath "logs.zip"
Remove-Item $zipFilePath
Compress-Archive -Path $logDirPath -DestinationPath $zipFilePath
$bucketName = "${ENV_NAME}-cluster-${REGION}-${ACCOUNT}"
$keyName = "${MODULE}_logs.zip"
Write-S3Object -BucketName $bucketName -Key $keyName -File $zipFilePath 

Ensuite, accédez à la console S3, sélectionnez le bucket avec son nom <environment_name>-cluster-<region>-<aws_account_number> et téléchargez le <module_name>_logs.zip fichier précédemment téléchargé.

........................

Collecte des journaux ECS pour l' WaitCondition erreur

........................

Échec de suppression de l'interface réseau

Si vous remarquez un échec de detachvpcfromlambdacustomresource suppression dans la section Événements de la pile RES Finalizer, cela signifie probablement que le service Lambda n'a pas supprimé ou n'a pas supprimé à temps les interfaces réseau connectées à RES Lambdas.

Vous pouvez supprimer manuellement ces interfaces réseau obsolètes en accédant à la page Interfaces réseau de la console Amazon EC2 et en les filtrant selon les descriptions contenant. AWS Lambda VPC ENI-{RES-Environment-Name} Il devrait y avoir jusqu'à 14 interfaces réseau, mais ce nombre peut être inférieur en fonction du nombre d'interfaces Lambda qui ont réussi à supprimer. Supprimez manuellement ces interfaces réseau, puis relancez la suppression de la pile RES.

Environnement de démonstration

........................

Erreur de connexion à l'environnement de démonstration lors du traitement de la demande d'authentification auprès du fournisseur d'identité

Problème

Si vous essayez de vous connecter et que vous recevez une « erreur inattendue lors du traitement de la demande d'authentification auprès du fournisseur d'identité », vos mots de passe ont peut-être expiré. Il peut s'agir du mot de passe de l'utilisateur sous lequel vous essayez de vous connecter ou de votre compte Active Directory Service.

Mitigation

........................

Demo Stack Keycloak ne fonctionne pas

Problème

Si votre serveur Keycloak est tombé en panne et que, lorsque vous l'avez redémarré, l'adresse IP de l'instance a changé, cela a peut-être entraîné une rupture de keycloak : la page de connexion de votre portail RES ne se charge pas ou reste bloquée dans un état de chargement qui ne se résout jamais.

Mitigation

Vous devrez supprimer l'infrastructure existante et redéployer la pile Keycloak pour rétablir le bon état de Keycloak. Procédez comme suit :

........................

Problèmes liés à Active Directory

Mon VDI est bloqué dans l'état de provisionnement pendant une longue période, ou je ne peux pas me connecter à mon VDI en tant qu'utilisateur AD une fois que le VDI est prêt

Vérifiez d'abord les journaux d'installation et de configuration du VDI (/root/bootstrap/logs/et les /opt/idea/app/logs/ répertoires pour Linux ou C:\Users\Administrator\RES\Bootstrap\Log\ C:\Program Files\RES\app\logs\ les répertoires pour Windows) pour détecter toute erreur d'installation ou de configuration.

Si vous trouvez un message d'erreur indiquant que l'instance n'a pas réussi à rejoindre Active Directory, cela est généralement dû au fait que le gestionnaire de clusters ne peut pas prédéfinir le compte d'ordinateur pour l'instance dans votre AD. Vérifiez les journaux de Cluster Manager sous le groupe de /environment-name/cluster-manager CloudWatch journaux et filtrez les messages d'erreur qui en contiennent[preset-computer]. Les problèmes courants comprennent :

Si vous définissez DisableAdjoin sur true lors de l'installation de RES, vos VDI Linux se connectent uniquement à Active Directory au lieu de le rejoindre via le service SSSD. Connectez-vous à votre instance VDI depuis la console EC2 et exécutez la commande id username sur celle-ci. Si la commande ne peut pas renvoyer l'UID/GID de l'utilisateur AD correspondant, vérifiez l'état du service SSSD à l'aide de la commande sudo systemctl status sssd sur l'instance VDI ainsi que des journaux du service SSSD situés dans le répertoire. /var/log/sssd/

Si vous devez personnaliser les configurations SSSD pour vous connecter à votre AD, vous pouvez modifier le fichier de configuration SSSD (/etc/sssd/sssd.conf) manuellement et redémarrer le service SSSD à l'aide de la commande sudo systemctl restart sssd sur l'hôte infra/VDI (versions 2024.12.01 et antérieures), ou fournir des configurations SSSD supplémentaires depuis le portail Web RES, Synchronisation Active Directory qui seront automatiquement appliquées à vos VDI existants ou nouveaux (versions 2025.03 et ultérieures).

........................

Je ne parviens pas à me connecter au portail Web RES après avoir configuré le SSO

Consultez les tables environment-name.accounts.groups DynamoDB environment-name.accounts.users et DynamoDB pour vérifier si les utilisateurs et les groupes sont synchronisés depuis votre Active Directory. Si les tables sont vides ou si les utilisateurs auxquels vous vous connectez ne figurent pas, consultez les journaux de synchronisation AD dans le /environment-name/cluster-manager CloudWatch groupe de journaux (avant la version 2024.12) ou dans le groupe de /environment-name/ad-sync CloudWatch journaux (version 2024.12 et versions ultérieures).

Outre les problèmes courants de configuration AD mentionnés surMon VDI est bloqué dans l'état de provisionnement pendant une longue période, ou je ne peux pas me connecter à mon VDI en tant qu'utilisateur AD une fois que le VDI est prêt, d'autres erreurs peuvent inclure :

Une fois le problème de synchronisation AD résolu, vous pouvez attendre la prochaine synchronisation AD planifiée qui a lieu toutes les heures ou la déclencher manuellement en suivant les instructions contenues dans Comment exécuter manuellement la synchronisation (versions 2024.12 et 2024.12.01) (versions 2024.12 et 2024.12.01) ou Comment démarrer ou arrêter manuellement la synchronisation (versions 2025.03 et ultérieures) (versions 2025.03 et ultérieures).

........................

L'utilisateur AD ne peut pas accéder au répertoire de base à l'aide du navigateur de fichiers même après le lancement réussi des VDI Linux

Vérifiez si l'utilisateur AD est visible par le gestionnaire de cluster en exécutant la commande id username sur l'instance de gestionnaire de cluster. Si la commande ne peut pas renvoyer l'UID/GID de l'utilisateur AD correspondant, vérifiez les journaux du gestionnaire de clusters sous le /environment-name/cluster-manager CloudWatch groupe de journaux et recherchez toute erreur concernant le démarrage du service SSSD. S'il n'y a aucune erreur dans les journaux de Cluster Manager, vérifiez l'état du service SSSD à l'aide de la commande sudo systemctl status sssd sur l'instance de Cluster Manager ainsi que des journaux du service SSSD situés dans le /var/log/sssd/ répertoire.

Si l'utilisateur AD est visible par le gestionnaire de clusters, vérifiez l'UID/GID dans le répertoire personnel de l'utilisateur (/home/username) en exécutant la commande. ls -n /home Comparez l'UID/GID du répertoire personnel de l'utilisateur avec l'UID/GID renvoyé par la commande. id username Si l'UID/GID ne correspond pas, cela signifie que le répertoire personnel de l'utilisateur peut être créé en dehors de RES ou à partir d'un déploiement RES précédent. Sauvegardez toutes les données utilisateur importantes, supprimez le répertoire de base et lancez un nouveau Linux VDI avec l'utilisateur. Le répertoire de base sera recréé avec l'UID/GID approprié une fois le nouveau VDI correctement configuré.

........................

L'administrateur AD ne peut pas accéder à l'hôte Bastion une fois l'accès SSH activé

Vérifiez si l'utilisateur AD est visible pour l'hôte Bastion en exécutant la commande id username sur l'instance de Bastion Host. Si la commande ne peut pas renvoyer l'UID/GID de l'utilisateur AD correspondant, vérifiez les journaux de Bastion Host sous le /environment-name/bastion-host CloudWatch groupe de journaux et recherchez toute erreur concernant le démarrage du service SSSD. S'il n'y a aucune erreur dans les journaux de Bastion Host, vérifiez l'état du service SSSD à l'aide de la commande sudo systemctl status sssd sur l'instance de Bastion Host ainsi que des journaux du service SSSD situés dans le répertoire. /var/log/sssd/

........................

Afficher et gérer mon Active Directory déployé par la pile de ressources externes RES

Si votre Active Directory AWS géré est déployé par une pile de ressources externes RES, il doit y avoir une instance dont le nom commence par « AdDomainWindowsNode-external-resource-stack-name-WindowsManagementHost déployée » sous votre AWS compte qui peut être utilisée pour accéder à Active Directory et le gérer. Vous pouvez vous connecter à l'instance via Fleet Manager dans la console EC2 avec les informations d'identification suivantes :

Pour gérer votre Active Directory AWS géré, consultez la rubrique Gérer les utilisateurs et les groupes avec une instance Amazon EC2 dans le Guide d'administration des services d'AWSannuaire.

........................