Lorsque le service ne parvient pas à se connecter à Amazon RDS ou au service en aval

PDF

Il se peut que votre service présente un problème de configuration réseau s'il ne parvient pas à se connecter à une base de données Amazon RDS ou à une autre application ou service en aval. Cette rubrique décrit les étapes à suivre pour déterminer s'il existe des problèmes liés à la configuration de votre réseau et les options permettant de les corriger. Pour en savoir plus sur la configuration du trafic sortant pour App Runner, consultezActivation de l'accès VPC pour le trafic sortant .

Note

Pour afficher la configuration de votre connecteur VPC, dans le volet de navigation de gauche de la console App Runner, sélectionnez Configuration réseau. Sélectionnez ensuite l'onglet Trafic sortant. Sélectionnez un connecteur VPC. La page suivante affiche des informations sur le connecteur VPC. Sur cette page, vous pouvez consulter et analyser les éléments suivants : les sous-réseaux, les groupes de sécurité et les services App Runner qui utilisent le VPC.

Pour déterminer la cause de l'incapacité de votre application à se connecter à un autre service en aval

1. Assurez-vous que les sous-réseaux utilisés dans les connecteurs VPC sont des sous-réseaux privés. Si un connecteur est configuré avec un sous-réseau public, votre service rencontrera des erreurs, car les ENI Hyperplane sous-jacents (interfaces réseau élastiques) de chaque sous-réseau ne disposent pas d'espace IP public.

   Si vos connecteurs VPC utilisent des sous-réseaux publics, vous disposez des options suivantes pour corriger cette configuration :

   1. Créez un nouveau sous-réseau privé et utilisez-le à la place du sous-réseau public pour le connecteur VPC. Pour plus d'informations, consultez la section Sous-réseaux de votre VPC dans le guide de l'utilisateur Amazon VPC.

   2. Acheminez le sous-réseau public existant via des passerelles NAT. Pour plus d'informations, consultez la section Passerelles NAT dans le guide de l'utilisateur Amazon VPC.

2. Vérifiez que les règles d'entrée et de sortie du groupe de sécurité pour le connecteur VPC sont correctes. Dans le volet de navigation gauche de la console App Runner, sélectionnez Configuration réseau > Trafic sortant. Sélectionnez le connecteur VPC dans la liste. La page suivante répertorie les groupes de sécurité que vous pouvez sélectionner pour inspecter.

3. Vérifiez que les règles entrantes et sortantes du groupe de sécurité sont correctes pour l'instance RDS ou tout autre service en aval auquel vous tentez de vous connecter. Pour plus d'informations, consultez le guide de service du service en aval auquel votre application App Runner essaie de se connecter.

4. Pour vérifier qu'il n'existe aucun autre type de problème de configuration réseau en dehors de vos configurations App Runner, essayez de vous connecter au RDS ou au service en aval en dehors d'App Runner :

   1. À partir d'une instance Amazon EC2 située dans le même VPC, essayez de vous connecter à l'instance ou au service RDS.

   2. Si vous essayez de vous connecter à un point de terminaison VPC de service, vérifiez la connectivité en accédant au même point de terminaison depuis une instance EC2 du même VPC.

5. Si l'un des tests de connexion de l'étape 4 échoue, il est fort probable qu'il y ait un problème en dehors de vos configurations App Runner avec une autre ressource de votre AWS compte. Contactez le AWS Support pour obtenir de l'aide afin d'isoler et de résoudre le problème lié à vos autres configurations réseau.

6. Si vous vous connectez avec succès à l'instance RDS ou au service en aval en suivant les instructions de l'étape 4, suivez les instructions de cette étape. Nous vérifierons si le trafic entre dans l'ENI en activant et en inspectant les journaux de flux Hyperplane ENI.

   Note

   Pour pouvoir effectuer ces étapes et obtenir les informations du journal de flux ENI requises, la tentative de connexion au RDS ou au service en aval doit avoir lieu après le démarrage réussi de votre service App Runner. Votre application doit effectuer l'opération de connexion au service RDS ou au service en aval lorsqu'elle est en cours d'exécution. Sinon, les ENI pourraient être nettoyés dans le cadre des flux de travail de restauration d'App Runner. Cette approche garantit que les ENI restent disponibles pour une enquête plus approfondie.

   1. Depuis la AWS console, lancez la console EC2.

   2. Dans le volet de navigation de gauche, dans le groupe Réseau et sécurité, sélectionnez Interfaces réseau.

   3. Accédez aux colonnes Type d'interface et Description pour localiser les ENI dans les sous-réseaux associés au connecteur VPC. Ils auront les modèles de dénomination suivants.

      • Type d'interface : fargate

      • Description : commence par AWSAppRunner ENI(exemple : AWSAppRunner ENI - abcde123-abcd-1234-1234-abcde1233456)

   4. Utilisez les cases à cocher situées au début des lignes pour sélectionner les ENI applicables.

   5. Dans le menu Actions, sélectionnez Créer un journal de flux.

   6. Entrez les informations dans les instructions et sélectionnez Créer un flog de flux au bas de la page.

   7. Inspectez le journal de flux généré.

      • Si du trafic entrait dans l'ENI lorsque vous testiez la connexion, le problème n'est pas lié à la configuration de l'ENI. Il se peut qu'il y ait des problèmes de configuration réseau avec une autre ressource de votre AWS compte que les services App Runner. Contactez le AWS Support pour obtenir de l'aide supplémentaire.

      • Si le trafic n'entrait pas dans l'ENI lorsque vous testiez la connexion, nous vous conseillons de contacter le AWS Support pour voir s'il existe des problèmes connus avec le service Fargate.

   8. Utilisez l'outil Network Reachability Analyzer. Cet outil permet de déterminer les erreurs de configuration du réseau en identifiant les composants bloquants lorsqu'une source du chemin réseau virtuel n'est pas accessible. Pour plus d'informations, voir Qu'est-ce que Reachability Analyzer ? dans le guide Amazon VPC Reachability Analyzer.

      Entrez l'ENI App Runner comme source et le RDS ENI comme destination.

7. Si vous ne parvenez pas à préciser le problème, ou si vous ne parvenez toujours pas à vous connecter au service RDS ou au service en aval après avoir effectué les étapes précédentes, nous vous conseillons de contacter le AWS Support pour obtenir une assistance supplémentaire.