Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Fehler bei einem Gateway beheben Verwenden Sie dieses Thema, um Probleme mit Amazon ECS Gateway zu beheben, einschließlich Dienstverbindungsfehlern, Fehlern bei der Gateway-Routenbereitstellung, Gateway-Konfigurationsaktualisierungen und Verbindungsproblemen. Amazon ECS-Gateways, Gateway-Routen und Anwendungsziele melden ihren Status unabhängig voneinander. Ein Gateway kann bestehen bleiben `ACTIVE` selbst wenn eine Gateway-Route nicht bereitgestellt werden kann und eine Gateway-Route möglicherweise `ACTIVE` selbst wenn die Anwendungsziele fehlerhaft sind. Um die Ursache eines Fehlers zu ermitteln, überprüfen Sie den vom API-Vorgang zurückgegebenen Fehler oder überprüfen Sie den Status und die Fehlerdetails des betroffenen Gateways oder der Gateway-Route. Stellen Sie vor der weiteren Untersuchung sicher, dass Sie den richtigen Ressourcennamen oder ARN verwenden. AWS Konto und Region. Stellen Sie sicher, dass Amazon ECS Gateway in Ihrer Region unterstützt wird und dass Sie über die erforderlichen Berechtigungen verfügen. Stellen Sie bei Problemen mit der Serviceverbindung sicher, dass die Aufgabendefinition des Dienstes die `awsvpc` Netzwerkmodus. Wenn das Problem weiterhin besteht, verwenden Sie die folgenden Verfahren zur Problembehandlung, um den Fehler zu identifizieren und zu beheben. ## Fehler bei der Dienstverbindung und Bereitstellung ### Dem Cluster sind keine Gateways zugeordnet A `CreateService` oder `UpdateService` Eine Anforderung, die einen Gateway-Connector enthält, schlägt fehl, wenn dem Cluster des Dienstes keine Gateways zugeordnet sind. Amazon ECS berichtet `gatewayConnectors were specified but no gateways are associated with cluster` und lehnt die Anfrage ab, anstatt einen Dienst bereitzustellen, der keine URL angeben kann. Überprüfen Sie die Gateway-Zuordnungen des Clusters, um sicherzustellen, dass mindestens ein Gateway dem Cluster des Dienstes zugeordnet ist. ``` aws ecs list-gateway-cluster-associations \ --cluster my-cluster ``` Wenn keine Zuordnung verfügbar ist, wenden Sie sich an Ihr Plattformteam, um ein Gateway zuzuordnen, bevor Sie den Service mit einem Connector bereitstellen. Ein Gateway, dessen Zuordnung eingegangen ist `DISASSOCIATING` ist für neue Verbindungen nicht verfügbar. Dieser Fehler wird auch angezeigt, nachdem das Plattformteam das letzte Gateway in Ihrem Cluster gelöscht hat. Entfernen Sie den Connector aus Ihrem Service oder warten Sie vor dem nächsten Update auf ein Ersatz-Gateway. ### Kein kompatibles Gateway entspricht dem Dienst Amazon ECS bewertet die mit dem Cluster verknüpften Gateways und verbindet den Service mit jedem Gateway, das alle der folgenden Bedingungen erfüllt: + **Zugriffstyp.** Der Zugriffstyp des Gateways entspricht dem `filters.accessTypes` Einstellung im Gateway-Connector des Dienstes. Wenn Sie diesen Filter weglassen, werden beide `PUBLIC` und `PRIVATE` Gateways sind teilnahmeberechtigt. + **VPC.** Das Gateway und der Service befinden sich in derselben VPC. + **Verfügbarkeitszonen.** Das Gateway deckt alle Availability Zones ab, die von den konfigurierten Subnetzen des Dienstes verwendet werden. Die Subnetz-IDs selbst müssen nicht übereinstimmen, aber das Gateway muss in jeder Availability Zone, die der Service verwendet, Subnetzabdeckung haben. Ein Gateway, das diese Bedingungen nicht erfüllt, ist ausgeschlossen. Wenn mindestens ein kompatibles Gateway verfügbar ist, stellt der Dienst eine Verbindung zu diesem her. Wenn keine kompatiblen Gateways verfügbar sind, schlägt die Anfrage fehl. Amazon ECS berichtet `has associated gateways but none are in the service's VPC` wenn sich kein zugehöriges Gateway in der VPC des Dienstes befindet und `none of the gateways associated with cluster match` wenn der Zugriffstypfilter jedes verbleibende Gateway ausschließt. **Um eine Kompatibilitätsinkongruenz zu identifizieren und zu beheben** 1. **Überprüfen Sie den Zugriffstypfilter des Dienstes.** Stellen Sie sicher, dass `filters.accessTypes` entspricht dem Zugriffstyp des Gateways, zu dem Sie eine Verbindung herstellen möchten. 1. **Ruft die konfigurierten Subnetze des Dienstes ab.** Verwenden `list-service-deployments` um den ARN der entsprechenden Dienstrevision zu identifizieren. ``` aws ecs list-service-deployments \ --cluster my-cluster \ --service my-service \ --query 'serviceDeployments[].targetServiceRevisionArn' ``` Dann benutze `describe-service-revisions` um die konfigurierten Subnetze abzurufen. ``` aws ecs describe-service-revisions \ --service-revision-arns \ --query 'serviceRevisions[0].networkConfiguration.awsvpcConfiguration.subnets' ``` 1. **Ruft die konfigurierten Subnetze des Gateways ab.** Verwenden `describe-gateway` um die Netzwerkkonfiguration des Gateways anzuzeigen. ``` aws ecs describe-gateway \ --gateway my-gateway ``` 1. **Vergleichen Sie die VPCs und Availability Zones.** Verwenden `describe-subnets` um die VPC-ID und die Availability Zone für die Service- und Gateway-Subnetze abzurufen. ``` aws ec2 describe-subnets \ --subnet-ids \ --query 'Subnets[].{SubnetId:SubnetId,VpcId:VpcId,AvailabilityZone:AvailabilityZone}' ``` Stellen Sie sicher, dass sich der Service und das Gateway in derselben VPC befinden und dass das Gateway alle vom Service verwendeten Availability Zones abdeckt. 1. **Beheben Sie die Diskrepanz.** Aktualisieren Sie den Zugriffstypfilter oder die Subnetzkonfiguration des Dienstes nach Bedarf. Wenn kein kompatibles Gateway verfügbar ist, wenden Sie sich an Ihr Plattformteam, um ein Gateway zu konfigurieren oder zuzuordnen, das den Anforderungen des Dienstes an Zugriffstyp, VPC und Availability Zone entspricht. Versuchen Sie erneut, den Dienst zu erstellen oder zu aktualisieren, nachdem Sie die Diskrepanz behoben haben. **Anmerkung** Für mehr Flexibilität beim Verbinden von ECS-Diensten konfigurieren Sie Gateways mit Subnetzen, die alle Availability Zones abdecken, in denen Ihre Dienste möglicherweise ausgeführt werden. Eine breitere Abdeckung der Availability Zones ermöglicht es einem Gateway, mehr Dienste zu unterstützen, und reduziert die Notwendigkeit, zusätzliche Gateways zu erstellen. Gateway-Subnetze können nach der Erstellung nicht geändert werden. ### Der Gateway-Connector verweist auf einen ungültigen Container-Port Der eines Gateway-Connectors `portName` muss mit dem Namen einer Portzuordnung in der Aufgabendefinition des Dienstes übereinstimmen. Es ist der Name des Ports, nicht der numerische Container-Port. Wenn kein Container in der Aufgabendefinition eine Portzuordnung mit diesem Namen hat, meldet Amazon ECS `InvalidConfiguration: "portName not found in task definition portMappings"`. Führen Sie Folgendes aus, um die benannten Portzuordnungen zu überprüfen: ``` aws ecs describe-task-definition \ --task-definition my-task-definition:1 \ --query 'taskDefinition.containerDefinitions[].portMappings[].name' ``` Korrigieren Sie den Connector oder die Aufgabendefinition, sodass die Namen übereinstimmen, und wiederholen Sie dann den Dienstvorgang. Überprüfen Sie dies erneut, nachdem Sie eine Aufgabendefinition aktualisiert haben, da ein zuvor gültiger Portname möglicherweise nicht mehr existiert. ### Die Aktualisierung der Integritätsprüfungen schlägt mit der ROLLING-Bereitstellungsstrategie fehl Beim Aktualisieren der Einstellungen für die Integritätsprüfung eines Gateway-Connectors wird ein Fehler zurückgegeben, der besagt, dass die Zielgruppeneigenschaften nicht mit dem geändert werden können `ROLLING` Bereitstellungsstrategie. Um diese Einstellungen zu ändern, sind eine neue Zielgruppe und ein Dienst erforderlich, der die `ROLLING` Die Bereitstellungsstrategie unterstützt diesen Ersatz während eines Updates nicht. Behalten Sie die vorhandenen Einstellungen für die Integritätsprüfung bei, oder verwenden Sie eine blue/green oder eine kanarische Bereitstellungsstrategie für die Änderung. Wenn Sie den Dienst trennen und erneut verbinden müssen, um die Zielgruppe zu ersetzen, planen Sie die Entfernung und Wiederherstellung der Gateway-Route und des Hostnamens ein. Informationen zur Connectorkonfiguration finden Sie unter [Verbinden Sie Amazon ECS-Services mit einem Gateway](gateway-connect-service.md). ## Fehler bei der Bereitstellung der Gateway-Route Eine Serviceverbindung kann eine Gateway-Route in enthalten `CREATE_FAILED` oder `UPDATE_FAILED` Zustand, oder eine Servicebereitstellung kann die Bereitstellung von Ingress nicht abschließen. Ein Ausfall auf Routenebene ändert nicht unbedingt den Gesamtstatus des Gateways und wirkt sich auch nicht auf die bestehende Route eines anderen Dienstes aus. 1. Finden Sie die ausgefallenen Gateway-Routen. ``` aws ecs list-gateway-routes \ --gateway my-gateway \ --status CREATE_FAILED UPDATE_FAILED ``` 1. Identifizieren Sie den Dienst, zu dem jede ausgefallene Route gehört, und die Ressourcen, die das Gateway dafür erstellt hat. ``` aws ecs describe-gateway-route \ --gateway-route-arn arn:aws:ecs:us-west-2:123456789012:gateway-route/my-gateway/a1b2c3d4/9f8e7d6c ``` 1. Überprüfen Sie den Bereitstellungsstatus des Dienstes und die Dienstereignisse auf die Fehlerursache. Ermitteln Sie anhand des Grundes, ob die Ausstellung eines Zertifikats, einer Listener-Regel, einer Zielgruppe, einer Sicherheitsgruppe oder einer anderen Ressource fehlgeschlagen ist. 1. Korrigieren Sie das zugrundeliegende Problem und versuchen Sie erneut, den betroffenen Dienst bereitzustellen. Eine Änderung der Gateway-Konfiguration führt nicht unbedingt dazu, dass eine bereits fehlgeschlagene Servicebereitstellung neu gestartet wird. **Anmerkung** Eine Gateway-Route meldet einen Fehlerstatus, aber nicht den Grund dafür. Amazon ECS zeichnet den Grund für die Servicebereitstellung auf, die die Bereitstellung ausgelöst hat, und in den Ereignissen des Dienstes. Zu den häufigsten Ursachen gehören unzureichende Berechtigungen für Infrastrukturrollen, Load Balancer-Kapazität oder Service-Kontingente, Erschöpfung der Subnetz-IP und Ressourcen, die außerhalb von Amazon ECS gelöscht oder geändert wurden. Zwei Gründe, die Ihnen möglicherweise angezeigt werden, sind `InsufficientAvailabilityZones`, was bedeutet, dass sich die Subnetze des Gateways in weniger als zwei Availability Zones befinden, was der Mindestwert für einen Application Load Balancer ist, und `InvalidSubnet`, was bedeutet, dass ein konfiguriertes Subnetz nicht existiert, zu einer anderen VPC gehört oder keine freien IP-Adressen mehr hat. In den folgenden Abschnitten wird beschrieben, wie die Berechtigungen, die Kapazität und die Out-of-Band-Bedingungen untersucht werden. Die Überwachungsverfahren finden Sie unter [Überwachen Sie ein Gateway](gateway-monitoring.md). Für die Genehmigungen `hostSharedAlb` Der Gateway-Typ erfordert, siehe [AmazonECSInfrastructureRoleForGatewayHostSharedALB](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonECSInfrastructureRoleForGatewayHostSharedALB.html) in der *AWS Referenz für verwaltete Richtlinien*. ## Kapazitäts- und Quotenprobleme Die Kontingentwerte finden Sie unter [Grenzwerte für Gateway-Dienste](gateway-overview.md#gateway-service-quotas). ### Der Cluster hat sein Gateway-Zuordnungslimit erreicht Ein Cluster kann mit maximal 5 Gateways verknüpft werden. Wenn dieses Limit erreicht wird, meldet Amazon ECS `Cluster has reached the maximum number of gateway associations (5)`. Trennen Sie ein Gateway, das der Cluster nicht mehr benötigt. Dazu müssen zuerst die Dienste getrennt werden, die es noch verwenden. ### Das Gateway hat die maximale Anzahl an Load Balancern erreicht Wenn die vorhandenen Load Balancer eines Gateways keine weitere Serviceverbindung akzeptieren können, stellt Amazon ECS einen anderen Load Balancer bereit, bis er die des Gateways erreicht `maxAlbCount` Einstellung, die standardmäßig auf 10 eingestellt ist. Ein Load Balancer kann bis zu 25 ECS-Dienste bereitstellen. Wenn jeder Load Balancer voll ist und das Gateway eingeschaltet ist `maxAlbCount`, schlägt die Bereitstellung eines neuen Dienstes fehl. Prüfen Sie das `currentAlbCount` gegen `maxAlbCount` und inspizieren Sie die verwalteten Ressourcen: ``` aws ecs describe-gateway --gateway my-gateway aws ecs describe-gateway-resources --gateway my-gateway ``` Wenn `maxAlbCount` ist der limitierende Faktor, erhöhen Sie ihn innerhalb des unterstützten Grenzwerts. Beispiel: ``` aws ecs update-gateway \ --gateway my-gateway \ --configuration '{"hostSharedAlb":{"maxAlbCount":25}}' ``` Warten Sie, bis das Gateway-Update abgeschlossen ist, und stellen Sie dann den betroffenen Dienst erneut bereit. Zunehmend `maxAlbCount` wiederholt nicht automatisch eine fehlgeschlagene Dienstbereitstellung. ### Ein zugrunde liegender AWS Das Ressourcenkontingent wurde erreicht Die von ECS Gateway bereitgestellten Ressourcen unterliegen den Kontingenten ihrer eigenen Dienste, einschließlich Load Balancers, Zielgruppen, Listener-Regeln, Zertifikaten und Sicherheitsgruppenregeln. Die Bereitstellung kann auch fehlschlagen, wenn die konfigurierten Subnetze nicht über genügend verfügbare IP-Adressen verfügen. Möglicherweise sehen Sie die folgenden Gründe: + `LoadBalancerQuotaExceeded` und `TargetGroupQuotaExceeded`, für die Kontolimits in der Region. + `ResourceQuotaExceeded`, für ein Limit pro Load Balancer, wie z. B. Listener-Regeln oder Zertifikate. + `CertificateQuotaExceeded`, für das Zertifikatslimit des Kontos. + `CertificateAnnualLimitExceeded`, für Zertifikate, die in den letzten 365 Tagen angefordert wurden. Durch das Löschen von Zertifikaten wird diese Anzahl nicht reduziert, daher ist für dieses Zertifikat eine Kontingenterhöhung erforderlich AWS Unterstützung. + `SecurityGroupCapacityExceeded` und `SecurityGroupRuleCapacityExceeded`, für Sicherheitsgruppen pro VPC und Regeln pro Sicherheitsgruppe. + `TestRuleLimitExceeded`, für Testverkehrsregeln für einen Dienst. + `TagLimitExceeded`, für eine Kombination aus Gateway-Tags und Service-Tags, die den von einer Ressource erlaubten Betrag übersteigt, oder für Tags, die eine Konto-Tag-Richtlinie ablehnt. Amazon ECS wendet auch seine eigenen an `AmazonECSManaged` Tag, der einen Slot verwendet. Identifizieren Sie anhand der Fehlerursache die eingeschränkte Ressource und überprüfen Sie dann das geltende Dienstkontingent. Fordern Sie eine Erhöhung des Kontingents an, geben Sie ungenutzte Kapazität frei oder verwenden Sie eine unterstützte alternative Konfiguration, und versuchen Sie dann erneut, den Dienst bereitzustellen. Informationen zu Elastic Load Balancing-Grenzwerten finden Sie unter [Kontingente für Ihre Application Load Balancer](https://docs.aws.amazon.com/elasticloadbalancing/latest/application/load-balancer-limits.html). ## IAM- und Berechtigungsprobleme Gateway-Operationen beinhalten zwei verschiedene Identitäten: den IAM-Prinzipal, der die API-Anfrage stellt, und die Infrastruktur-IAM-Rolle, die Amazon ECS für die Verwaltung übernimmt AWS Ressourcen. Ein Berechtigungsproblem auf der einen Seite wird nicht durch Änderung der anderen behoben. ### Der Anrufer kann die Infrastrukturrolle nicht übergeben `CreateGateway` und `UpdateGateway` scheitern Sie mit einem Berechtigungsfehler, der Folgendes beinhaltet `iam:PassRole` wenn der Anrufer die unter angegebene Rolle nicht übergeben kann `infrastructureRoleArn`. Dies ist der häufigste Fehler bei der ersten Ausführung, da der Anruf auch dann fehlschlägt, wenn der Anrufer Gateways erstellen darf. Bestätigen Sie, dass der Anrufer `iam:PassRole` Genehmigung für die genaue Rolle, in der ARN enthalten ist `infrastructureRoleArn`, und überprüfen Sie die Grenzen von Berechtigungen, die Richtlinien zur Dienstkontrolle und die ausdrücklichen Verweigerungen. Durch das Hinzufügen von Berechtigungen zur Infrastrukturrolle wird eine fehlende Berechtigung für die Identität des Anrufers nicht behoben. Informationen zur Einrichtung der IAM-Rolle finden Sie unter [Infrastruktur-IAM-Rolle für Amazon ECS Gateway](gateway-managing.md#gateway-infrastructure-role). ### Amazon ECS kann die Infrastrukturrolle nicht übernehmen Amazon ECS könnte die Rolle übernehmen, konnte sie aber nicht übernehmen. Stellen Sie sicher, dass die IAM-Rolle existiert und ob die Vertrauensrichtlinie dies zulässt `ecs.amazonaws.com` um anzurufen `sts:AssumeRole`. ``` aws iam get-role --role-name ecsInfrastructureRoleForGateways ``` Die Vertrauensrichtlinie der Rolle muss den folgenden entsprechen. ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "AllowAccessInfrastructureForECSGateways", "Effect": "Allow", "Principal": { "Service": "ecs.amazonaws.com" }, "Action": "sts:AssumeRole" } ] } ``` Wenn die Rolle gerade erstellt oder geändert wurde, warten Sie, bis die IAM-Änderung wirksam ist, bevor Sie es erneut versuchen. Ein fehlendes oder falsches Vertrauensverhältnis wird nicht behoben, indem dem Anrufer eine Genehmigung erteilt wird `iam:PassRole` allein. Vergewissern Sie sich außerdem, dass sich die Rolle im selben Konto und in derselben Partition wie das Gateway befindet. Ein damit zusammenhängender Fehler, `AWS STS is not activated for this account in a Region`, bedeutet AWS -Security-Token-Service ist für diese Region nicht aktiviert. Aktivieren Sie es, und versuchen Sie es erneut. ### Die Infrastrukturrolle kann keine Ressource verwalten Eine Gateway-Route oder ein Gateway-Update meldet einen Fehler „Zugriff verweigert“ für ein Elastic Load Balancing, Amazon EC2 oder AWS Certificate Manager Vorgang, wenn der Infrastrukturrolle eine Berechtigung fehlt. Stellen Sie sicher, dass die Rolle über die für die Gateway-Konfiguration erforderlichen Berechtigungen verfügt. Für den `hostSharedAlb` Überprüfen Sie den Gateway-Typ im Anhang AWS verwaltete Richtlinie. ``` aws iam list-attached-role-policies --role-name ecsInfrastructureRoleForGateways ``` Hängen Sie das an `AmazonECSInfrastructureRoleForGatewayHostSharedALB` verwaltete Richtlinie oder, falls Sie sie durch eine eigene Richtlinie ersetzt haben, vergleichen Sie diese Richtlinie mit der im Fehler genannten IAM-Aktion. Die Berechtigungen, die diese Richtlinie gewährt, finden Sie in der [*AWS Referenz für verwaltete Richtlinien*](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonECSInfrastructureRoleForGatewayHostSharedALB.html). Prüfen Sie auch, ob eine Berechtigungsgrenze oder eine andere Kontobeschränkung die Aktion verhindert. Die genaue Angabe des fehlgeschlagenen Vorgangs und der Ressourcen-ARN sind nützlicher als eine undifferenzierte `AccessDenied` Nachricht. ## Dienstkonnektivität und Zustand des Ziels ### Der Hostname des Dienstes reagiert nicht Wenn Anfragen an einen vom Gateway generierten HTTPS-Hostnamen eine Zeitüberschreitung haben oder fehlschlagen, überprüfen Sie die Verbindung von der Gateway-Route zur Anwendung. 1. **Überprüfen Sie den Status der Gateway-Route.** Suchen Sie die Route für den Dienst und bestätigen Sie, dass dies der Fall ist `ACTIVE`. Eine Route in `CREATE_IN_PROGRESS` hat die Bereitstellung noch nicht abgeschlossen, und eine Route in einem `*_FAILED` In diesem Bundesstaat ist ein Bereitstellungsfehler aufgetreten. Überprüfen Sie den Routenfehler, bevor Sie Fehler in der Anwendung beheben: ``` aws ecs list-gateway-routes --cluster my-cluster --service my-service ``` 1. **Überprüfen Sie den Gateway-Zugriff.** Ein internes Gateway erfordert eine Netzwerkkonnektivität zum internen Load Balancer. Stellen Sie sicher, dass Sie von einem Netzwerk aus testen, das es erreichen kann. 1. **Überprüfen Sie den Zustand des Ziels.** Rufen Sie den Zielgruppen-ARN von der Gateway-Verbindung des Dienstes ab. `describe-service-revisions` kehrt zurück und überprüft dann die registrierten Ziele. ``` aws elbv2 describe-target-health \ --target-group-arn arn:aws:elasticloadbalancing:us-west-2:123456789012:targetgroup/my-service/0123456789abcdef ``` Eine Zielgruppe kann fehlerhafte Ziele melden, wenn die Anwendung einen unerwarteten Statuscode zurückgibt, eine Zeitüberschreitung eintritt, auf einem anderen Port lauscht oder vom Load Balancer nicht erreicht werden kann. Die Antwort umfasst den Gesundheitszustand jedes Ziels und, falls relevant, einen Grund und eine Beschreibung. Zum Beispiel ein Grund für `Target.ResponseCodeMismatch` gibt an, dass die Antwort nicht dem konfigurierten Erfolgscodebereich entsprach. Überprüfen Sie den Pfad zur Integritätsprüfung, die Antwort der Anwendung und den Zielport, bevor Sie die Gateway-Infrastruktur ändern. Die Ursachencodes für die Integritätsprüfung finden Sie unter [Zustandsprüfungen für Application Load Balancer-Zielgruppen](https://docs.aws.amazon.com/elasticloadbalancing/latest/application/target-group-health-checks.html). Ein `ACTIVE` Gateway-Route bedeutet, dass die Ingress-Bereitstellung erfolgreich war. Dies bedeutet nicht, dass die Anwendungsziele fehlerfrei sind. 1. **Überprüfen Sie die Sicherheitsgruppen.** Vergewissern Sie sich, dass die eingehende Sicherheitsgruppe des Load Balancers den Datenverkehr von den vorgesehenen Clients zulässt und dass die Task-Sicherheitsgruppe den Datenverkehr vom Load Balancer auf dem Container-Port zulässt. Wenn das Plattformteam die eingehende Sicherheitsgruppe des Gateways bereitstellt, verwaltet Amazon ECS die Regeln für eingehenden Datenverkehr nicht. 1. **Prüfen Sie die Anwendung und die Verkehrskontrollen.** Überprüfen Sie den Listening-Port und den Gesundheitsendpunkt des Containers. Wenn ein AWS WAF Eine Web-ACL ist konfiguriert, überprüfen Sie, ob eine Regel die Anfrage blockiert. Verwenden Sie Load Balancer-Zugriffsprotokolle und CloudWatch Metriken, um Load Balancer-Fehler von Anwendungsreaktionen zu unterscheiden. ## Fehler beim Gateway-Update `DescribeGateway` Berichte `UPDATE_FAILED` nach einem Gateway-Konfigurationsupdate, das Amazon ECS nicht auf jeden Load Balancer anwenden konnte. Amazon ECS wendet nacheinander ein Update auf jeden verwalteten Load Balancer an und bemüht sich nach besten Kräften, sie alle zu aktualisieren, anstatt beim ersten Ausfall aufzuhören. Daher akzeptieren einige Load Balancer die Änderung möglicherweise, während andere ausfallen. Gehen Sie nicht davon aus, dass das Update über das Gateway rückgängig gemacht wurde. Rufen Sie den Status und die Fehlerinformationen ab. ``` aws ecs describe-gateway --gateway my-gateway ``` Inspizieren `statusReason` und `failures` für die Ressourcen und Operationen, die nicht aktualisiert werden konnten. Beispielsweise weist ein Fehler aufgrund einer ungültigen Sicherheitsgruppen-ID auf die konfigurierte eingehende Sicherheitsgruppe des Gateways hin, und ein Fehler „Zugriff verweigert“ weist auf die Berechtigungen hin, die für die Infrastrukturrolle verfügbar sind. Um zu erfahren, wie man das liest `failures` Liste, siehe [Suchen Sie nach den Fehlerdetails](gateway-monitoring.md#gateway-where-failures-recorded). Korrigieren Sie die gemeldete Ursache und versuchen Sie das angeforderte Update erneut. Warten Sie, bis das Gateway ein erfolgreiches Update meldet, bevor Sie davon ausgehen, dass jeder verwaltete Load Balancer über die neue Konfiguration verfügt, und warten Sie, bis das Update abgeschlossen ist, bevor Sie es erneut versuchen. **Wichtig** Ein teilweises Gateway-Update kann dazu führen, dass verschiedene Load Balancer unterschiedliche Konfigurationen haben, wodurch sich der Datenverkehr oder das Verhalten der dahinter stehenden Dienste ändern können. Behandeln Sie das Update so, als ob es teilweise angewendet wurde, bis das Gateway eine Meldung meldet `UPDATE_COMPLETE`, und validieren Sie die betroffenen Ressourcen nach der Wiederherstellung. ## Probleme beim Trennen und Löschen ### Eine Clusterzuweisung bleibt UNZUORDNEND Eine Gateway-Clusterzuordnung bleibt bestehen `DISASSOCIATING` bis alle Gateway-Routen, die diesem Cluster zugeordnet sind, entfernt sind. Amazon ECS stellt verbundene Dienste nicht automatisch erneut bereit oder entfernt ihre vorhandenen Routen, wenn Sie die Verknüpfung eines Gateways aufheben. Verwenden Sie den folgenden Befehl, um die Dienste zu identifizieren, die noch verbunden sind: ``` aws ecs list-gateway-routes --gateway my-gateway --cluster my-cluster ``` Stimmen Sie sich mit den Anwendungsteams ab, um die betroffenen Dienste zu aktualisieren oder erneut bereitzustellen, sodass sie die Verbindung zum Gateway trennen. Wenn die letzte Route entfernt wird, ist die Trennung abgeschlossen. ### Das Gateway kann nicht gelöscht werden Ein Gateway kann nicht gelöscht werden, solange der Löschschutz aktiviert ist oder wenn es Clusterzuordnungen in der `ACTIVE` oder `DISASSOCIATING` Staat. Überprüfen Sie die Clusterzuordnungen des Gateways und stellen Sie sicher, dass alle verbleibenden Gateway-Routen entfernt wurden, damit die Trennung abgeschlossen werden kann. Nachdem alle Zuordnungen entfernt wurden, stellen Sie sicher, dass der Löschschutz deaktiviert ist, und versuchen Sie dann erneut, das Gateway zu löschen. Das vollständige Verfahren finden Sie unter [Löschen Sie ein Gateway](gateway-managing.md#gateway-delete). ``` aws ecs update-gateway --gateway my-gateway --no-deletion-protection aws ecs delete-gateway --gateway my-gateway ``` ## Änderungen, die außerhalb von Amazon ECS vorgenommen wurden Amazon ECS repariert oder erstellt Gateway-verwaltete Ressourcen, die außerhalb von Amazon ECS geändert oder gelöscht werden, nicht automatisch neu. Das Ändern oder Löschen verwalteter Ressourcen wie Load Balancer, Listener, Listener-Regeln, Zielgruppen, Zertifikate oder Sicherheitsgruppen außerhalb von Amazon ECS kann den Datenverkehr unterbrechen oder dazu führen, dass nachfolgende Servicebereitstellungen, Gateway-Updates oder Bereinigungsvorgänge fehlschlagen. Wenn eine vom Gateway verwaltete Ressource außerhalb von Amazon ECS geändert oder gelöscht wurde, gehen Sie wie folgt vor: 1. **Identifizieren Sie die betroffene Ressource**: Verwenden `describe-gateway-resources` oder `describe-gateway-route` um die verwalteten Ressourcen zu identifizieren. Überprüfen Sie ihre aktuelle Konfiguration in der entsprechenden AWS Dienst zur Identifizierung fehlender oder geänderter Ressourcen. Eine außerhalb von Amazon ECS vorgenommene Änderung kann sich als einer der folgenden Fehlergründe herausstellen: + `ManagedResourceDeleted`, wenn eine Ressource, die Amazon ECS für den Service erstellt hat, außerhalb von Amazon ECS gelöscht wurde. + `ConflictingListener`, wenn ein Listener auf dem Port des Gateways auf dem Load Balancer vorhanden ist und Amazon ECS ihn nicht erstellt hat. + `SecurityGroupNameInUse`, wenn eine Sicherheitsgruppe mit dem Namen Amazon ECS Wants existiert und nicht von Amazon ECS verwaltet wird. Amazon ECS konfiguriert oder löscht sie nicht. + `InvalidSecurityGroup`, wenn die Sicherheitsgruppe für eingehende Anrufe des Gateways nicht mehr existiert. 1. **Stellen Sie den betroffenen Dienst wieder her**: Wenn eine Ressource geändert wurde, stellen Sie ihre ursprüngliche Konfiguration wieder her und stellen Sie den Dienst erneut bereit. Wenn eine Ressource gelöscht wurde, entfernen Sie den Gateway-Connector aus dem Dienst und stellen Sie ihn bereit. Fügen Sie den Connector dann wieder hinzu und stellen Sie ihn erneut bereit. Die zweite Bereitstellung stellt neue Ressourcen und eine neue Gateway-Route bereit. Da der Dienst einen neu generierten Hostnamen erhält, sollten Sie alle Clients oder DNS-Einträge aktualisieren, die auf den alten verweisen. 1. **Überprüfen Sie die Konnektivität**: Stellen Sie sicher, dass die Gateway-Route des Dienstes `ACTIVE` und die Ziele sind fehlerfrei, bevor Sie den Verkehr dorthin umleiten. **Wichtig** Ändern oder entfernen Sie das nicht `AmazonECSManaged` Tag aus Ressourcen, die vom Gateway verwaltet werden. Amazon ECS verwendet es, um die Ressourcen zu identifizieren, die es verwaltet, und ohne es kann Amazon ECS diese Ressource nicht mehr aktualisieren oder bereinigen. Nehmen Sie unterstützte Konfigurationsänderungen über Amazon ECS Gateway-Operationen vor, anstatt die zugrunde liegenden Ressourcen direkt zu ändern.