☰

AWS lamba start_instances fornece resposta pendente, mas o console ainda mostra parado

tag-icon • tag-icon amazon-ec2 amazon-lambda
AWS lamba start_instances fornece resposta pendente, mas o console ainda mostra parado

Eu tenho uma função lambda que configurei para iniciar uma instância:

import boto3
ec2 = boto3.client('ec2')
response = ec2.start_instances(
    InstanceIds=['i-xxx']
)
print(response)

A resposta parece boa, mostrando que está pendente de parado:

START RequestId: 26c0cf5e-6d70-4701-b0bd-68276b06d30d Version: $LATEST
{
    "StartingInstances": [
        {
            "CurrentState": {"Code": 0, "Name": "pending"},
            "InstanceId": "i-xxxxxx",
            "PreviousState": {"Code": 80, "Name": "stopped"},
        }
    ],
    "ResponseMetadata": {
        "RequestId": "fdab5818-0536-457f-a19e-17fea60100f4",
        "HTTPStatusCode": 200,
        "HTTPHeaders": {
            "x-amzn-requestid": "fdab5818-0536-457f-a19e-17fea60100f4",
            "content-type": "text/xml;charset=UTF-8",
            "content-length": "579",
            "date": "Wed, 16 Dec 2020 18:38:57 GMT",
            "server": "AmazonEC2",
        },
        "RetryAttempts": 0,
    },
}
END RequestId: f2ed2be9-e2f2-4beb-a69b-4cddee35bef4
REPORT RequestId: f2ed2be9-e2f2-4beb-a69b-4cddee35bef4  Duration: 1381.48 ms    Billed Duration: 1382 ms    Memory Size: 256 MB Max Memory Used: 97 MB  Init Duration: 688.96 ms

No entanto, quando olho para o console, ele ainda aparece como parado e nunca inicia.

Não parece que falhou ao iniciar:

                "StateReason": {
                    "Code": "Client.UserInitiatedShutdown",
                    "Message": "Client.UserInitiatedShutdown: User initiated shutdown",
                },

Política Baseada em Execução:

{
  "Version": "2012-10-17",
  "Id": "default",
  "Statement": [
    {
      "Sid": "xxxxxxx",
      "Effect": "Allow",
      "Principal": {
        "Service": "s3.amazonaws.com"
      },
      "Action": "lambda:InvokeFunction",
      "Resource": "xxxxxxFunction",
      "Condition": {
        "StringEquals": {
          "AWS:SourceAccount": "xxxxxxxx"
        }
      }
    }
  ]
}

Parece que realmente não tentei começar. Usei esse código para iniciar outras instâncias. Gostaria de saber se é um problema de permissão, mas não há erro. A função de execução da função lambda possui EC2fullaccess.

Observe, outro ponto de dados. Eu tentei outro código que usa o comando ssm send para enviar um comando assim que estiver em execução (após iniciar manualmente). Se eu tentar isso enquanto estiver em execução, será bem-sucedido.

Responder1

Seu volume EBS é criptografado usando uma chave KMS, e a função IAM que sua função Lambda está usando não tem permissão para descriptografar usando essa chave KMS. Nesse caso, a instância do EC2 é iniciada, mas para imediatamente.

Portanto, existem duas soluções possíveis.

Solução 1: adicione sua função IAM como “usuário” de sua chave KMS. Isso exige que você edite a política de permissão anexada à sua chave KMS e adicione sua função do IAM como "usuário" da chave (para criptografar/descriptografar).

Solução 2: adicione kms:CreateGrantà função IAM do seu Lambda. Com isso em sua função IAM, a AWS permitirá que a instância EC2 seja iniciada.

informação relacionada