Emily Freebairn，亞馬遜AWS軟體開發工程師

翻譯 Ye Zhou | 原文連結

通常，工程師希望在一組例項中執行操作任務。 但是，這些任務中的許多工需要以受控的速度進行，並在出現問題時獲得反饋。 此外，管理員還通常希望確保工程師只能執行指定的操作。

“執行命令”是Amazon EC2系統管理器（SSM）的一部分，旨在讓您遠端和安全地管理例項。 “執行命令”提供了一種簡單的方法來自動執行常見的管理任務，如執行shell指令碼、安裝軟體或修補程式等等。 “執行命令”允許您在多個例項上執行命令，並提供對結果的可見性。通過與AWS身份和訪問管理（

在本文中，演示瞭如何執行命令來收集例項的診斷資訊。 由於系統容量是按需新增，系統的容量會隨時變化。為了減少例項出現意外的可能性，命令可以以受控的速度執行。 如果出現失敗，您將收到通知以進行事後分析。 要確保您不會意外執行其他命令，請使用具有鎖定許可權的自定義操作來執行指定任務。

演練

在本節中，我將向您展示如何使用Auto Scaling設定例項，建立自定義SSM文件，然後在Auto Scaling組中的所有例項上執行命令。 同時展示瞭如何設定

步驟1：使用Auto Scaling組啟動例項

要使用“執行命令”，例項需要以下內容：

• 出站網際網路連線
• 附加適當的IAM角色

SSM代理與“執行命令”服務通訊以接收命令併發送輸出，並使用IAM角色授予呼叫服務的許可權。

對於這篇文章，使用Auto Scaling組來建立一組正確配置的例項。 有關分步說明，請參閱Auto Scaling入門。

這裡是一個使用了五個例項的Auto Scaling組的示例。

步驟2：建立自定義文件

“執行命令”使用文件來指定要在例項上執行的操作。文件是由JSON定義的AWS資源，它們包括您指定的步驟和引數。

AWS提供了一組執行常見任務的文件，例如執行shell指令碼，配置CloudWatch，安裝應用程式等。 此外，您可以為自己的文件編寫特定任務。 因為IAM策略允許您控制使用者被授權使用哪些文件，因此可以通過將一個指定使用者限制到某個文件子集來鎖定該使用者可以執行的操作。

這裡是一個文件的例子，它找出最消耗記憶體的程序。

{
    "schemaVersion": "2.0",
    "description": "Instance Diagnostics",
    "parameters": { },
    "mainSteps": [
        {
            "action": "aws:runShellScript",
            "name": "collectInformation",
            "inputs": {
                "runCommand": [ "ps aux --sort '%mem' | head -5" ]
            }
        }
    ]
}

要建立自定義文件，請使用建立文件SSM API。

aws ssm create-document --name InstanceDiagnostics --content file://~/workspace/document.json --document-type Command

{
    "DocumentDescription": {
        "Status": "Creating", 
        "Hash": "92182f1392807f23556ecc3f9e1d950a575dce8e2a4b96d284b1b2fb93369db2", 
        "Name": "InstanceDiagnostics", 
        "Parameters": [], 
        "DocumentType": "Command", 
        "PlatformTypes": [
            "Linux"
        ], 
        "DocumentVersion": "1", 
        "HashType": "Sha256", 
        "CreatedDate": 1492636792.396, 
        "Owner": "040557870006", 
        "SchemaVersion": "2.0", 
        "DefaultVersion": "1", 
        "LatestVersion": "1", 
        "Description": "Instance diagnostics example."
    }
}

步驟3：設定CloudWatch事件

去年，我們在“執行命令”中添加了對命令狀態更改的通知的支援。 設定CloudWatch事件通知時，您可以決定在每個例項或每個命令的基礎上觸發事件，並指定通知的狀態。使用此功能，您可以選擇在命令完成時收到通知，以進行必要的後續操作。

設定CloudWatch事件通知，以通過Amazon SNS通知並在命令完成時收到電子郵件。 首先建立一個在觸發時傳送電子郵件的SNS主題。

接下來，建立CloudWatch事件規則以在命令完成執行時觸發SNS主題。

步驟4：測試一個例項上的命令

在將命令傳送到整個例項組之前，請確保它按預期工作。

首先，檢查測試例項是否正確設定並通過使用DescribeInstanceInformation API連線到該服務。 這將返回有關代理的狀態、代理執行的平臺以及其他例項資訊。

aws ssm describe-instance-information --filters "Key=InstanceIds,Values=i-01222ecf7db201ca2"
{
    "InstanceInformationList": [
        {
            "IsLatestVersion": false, 
            "ComputerName": "ip-172-31-24-177.us-west-1.compute.internal", 
            "PingStatus": "Online", 
            "InstanceId": "i-01222ecf7db201ca2", 
            "IPAddress": "172.31.24.177", 
            "ResourceType": "EC2Instance", 
            "AgentVersion": "2.0.755.0", 
            "PlatformVersion": "2017.03", 
            "PlatformName": "Amazon Linux AMI", 
            "PlatformType": "Linux", 
            "LastPingDateTime": 1492637593.888
        }
    ]
}

接下來，使用先前建立的文件向上述例項傳送命令。

aws ssm send-command --document-name "InstanceDiagnostics" --instance-ids "i-01222ecf7db201ca2" 
{
    "Command": {
        "Comment": "", 
        "Status": "Pending", 
        "MaxErrors": "0", 
        "Parameters": {}, 
        "ExpiresAfter": 1492645288.475, 
        "ServiceRole": "", 
        "DocumentName": "InstanceDiagnostics", 
        "TargetCount": 1, 
        "OutputS3BucketName": "", 
        "NotificationConfig": {
            "NotificationArn": "", 
            "NotificationEvents": [], 
            "NotificationType": ""
        }, 
        "CompletedCount": 0, 
        "Targets": [], 
        "StatusDetails": "Pending", 
        "ErrorCount": 0, 
        "OutputS3KeyPrefix": "", 
        "RequestedDateTime": 1492638088.475, 
        "CommandId": "11cf0866-fdec-43a4-987b-b7a5f8ad60e9", 
        "InstanceIds": [
            "i-01222ecf7db201ca2"
        ], 
        "MaxConcurrency": "50"
    }
}

最後，檢查以確保命令成功完成。

aws ssm list-commands --command-id 11cf0866-fdec-43a4-987b-b7a5f8ad60e9
{
    "Commands": [
        {
            "Comment": "", 
            "Status": "Success", 
            "MaxErrors": "0", 
            "Parameters": {}, 
            "ExpiresAfter": 1492645288.475, 
            "ServiceRole": "", 
            "DocumentName": "InstanceDiagnostics", 
            "TargetCount": 1, 
            "OutputS3BucketName": "", 
            "NotificationConfig": {
                "NotificationArn": "", 
                "NotificationEvents": [], 
                "NotificationType": ""
            }, 
            "CompletedCount": 1, 
            "Targets": [], 
            "StatusDetails": "Success", 
            "ErrorCount": 0, 
            "OutputS3KeyPrefix": "", 
            "RequestedDateTime": 1492638088.475, 
            "CommandId": "11cf0866-fdec-43a4-987b-b7a5f8ad60e9", 
            "InstanceIds": [
                "i-01222ecf7db201ca2"
            ], 
            "MaxConcurrency": "50"
        }
    ]
}

步驟4：用速度控制“命令執行”

現在，您可以將命令傳送到您的一組例項。

“執行命令”公開了兩個新概念，用於幫助您控制傳送命令的速率。 您可以通過使用max-concurrency引數來控制多少個例項同時執行該命令。 您可以指定絕對的例項數，如10，或百分比，如50％。 系統將逐步建立更多的呼叫（命令和例項ID配對），直到達到最大併發限制，此時它將在建立下一個呼叫之前等待每個當前呼叫完成。

第二個引數max-errors允許您指定在“執行命令”停止向其他例項傳送命令之前允許的錯誤數。 像最大併發一樣，最大錯誤可以指定為絕對數或百分比。

向所建立的Auto Scaling組中的所有例項傳送命令，舉個例子，我們指定max-concurrency為40％、max-errors為100％。 您可以使用自動生成的Auto Scaling組標籤，無需任何其他工作。 通過將max-concurrency設定為40％，您可以確保命令不會同時傳送到所有例項。 將max-errors設定為100％將確保所有例項都執行命令，即使某些命令呼叫不成功。

因為您已設定CloudWatch事件通知，所以在命令完成時將會收到通知。 “執行命令”API的輸出限制為1200個字元，因此指定一個S3的位置以確保捕獲完整的輸出。

aws ssm send-command --document-name "InstanceDiagnostics" --target "Key=tag:aws:autoscaling:groupName,Values=RunCommandASG" --max-concurrency 40% --max-errors 100% --output-s3-bucket-name "run-command-blog" --output-s3-key-prefix "diagnostics"
{
    "Command": {
        "Comment": "", 
        "Status": "Pending", 
        "MaxErrors": "100%", 
        "Parameters": {}, 
        "ExpiresAfter": 1492647224.49, 
        "ServiceRole": "", 
        "DocumentName": "InstanceDiagnostics", 
        "TargetCount": 0, 
        "OutputS3BucketName": "run-command-blog", 
        "NotificationConfig": {
            "NotificationArn": "", 
            "NotificationEvents": [], 
            "NotificationType": ""
        }, 
        "CompletedCount": 0, 
        "Targets": [
            {
                "Values": [
                    "RunCommandASG"
                ], 
                "Key": "tag:aws:autoscaling:groupName"
            }
        ], 
        "StatusDetails": "Pending", 
        "ErrorCount": 0, 
        "OutputS3KeyPrefix": "diagnostics", 
        "RequestedDateTime": 1492640024.49, 
        "CommandId": "666b0ea2-0004-4352-bddc-ac212e0e4090", 
        "InstanceIds": [], 
        "MaxConcurrency": "40%"
    }
}

步驟5：驗證命令結果

當命令完成後，您將收到一封電子郵件中的SNS通知。

{
    "version": "0",
    "id": "8bb24048-9af4-4f88-a70d-47feba9da26c",
    "detail-type": "EC2 Command Status-change Notification",
    "source": "aws.ssm",
    "account": "040557870006",
    "time": "2017-04-19T22:38:19Z",
    "region": "us-west-1",
    "resources": [
        
    ],
    "detail": {
        "command-id": "666b0ea2-0004-4352-bddc-ac212e0e4090",
        "document-name": "InstanceDiagnostics",
        "requested-date-time": "2017-04-19T22:38:16.105Z",
        "expire-after": "2017-04-20T00:38:16.105Z",
        "output-s3bucket-name": "run-command-blog",
        "output-s3key-prefix": "diagnostics",
        "parameters": "",
        "status": "Success"
    }
}

使用ListCommands API來檢查總體的命令狀態。 這裡會返回一些資訊，例如命令的狀態、有多少個例項被定位（TargetCount）以及完成了多少個呼叫（CompletedCount）。

aws ssm list-commands --command-id 666b0ea2-0004-4352-bddc-ac212e0e4090 
{
    "Commands": [
        {
            "Comment": "", 
            "Status": "Success", 
            "MaxErrors": "100%", 
            "Parameters": {}, 
            "ExpiresAfter": 1492647224.49, 
            "ServiceRole": "", 
            "DocumentName": "InstanceDiagnostics", 
            "TargetCount": 5, 
            "OutputS3BucketName": "run-command-blog", 
            "NotificationConfig": {
                "NotificationArn": "", 
                "NotificationEvents": [], 
                "NotificationType": ""
            }, 
            "CompletedCount": 5, 
            "Targets": [
                {
                    "Values": [
                        "RunCommandASG"
                    ], 
                    "Key": "tag:aws:autoscaling:groupName"
                }
            ], 
            "StatusDetails": "Success", 
            "ErrorCount": 0, 
            "OutputS3KeyPrefix": "diagnostics", 
            "RequestedDateTime": 1492640024.49, 
            "CommandId": "666b0ea2-0004-4352-bddc-ac212e0e4090", 
            "InstanceIds": [], 
            "MaxConcurrency": "40%"
        }
    ]
}

現在，您需要從指定例項收集的診斷資訊。 使用GetCommandInvocation API。 這裡會返回命令的輸出，包括有關命令執行的更多詳細資訊，如開始執行時間以及執行了多久。

aws ssm get-command-invocation --command-id 666b0ea2-0004-4352-bddc-ac212e0e4090 --instance-id i-01222ecf7db201ca2
{
    "Comment": "", 
    "ExecutionElapsedTime": "PT0.004S", 
    "ExecutionEndDateTime": "2017-04-19T22:13:47.122Z", 
    "StandardErrorContent": "", 
    "InstanceId": "i-01222ecf7db201ca2", 
    "StandardErrorUrl": "https://s3-us-west-1.amazonaws.com/run-command-blog/diagnostics/666b0ea2-0004-4352-bddc-ac212e0e4090/i-01222ecf7db201ca2/awsrunShellScript/0.diagnose/stderr", 
    "DocumentName": "InstanceDiagnostics", 
    "StandardOutputContent": "eth0      Link encap:Ethernet  HWaddr 02:9B:C5:26:4B:00  \n          inet addr:172.31.24.177  Bcast:172.31.31.255  Mask:255.255.240.0\n          inet6 addr: fe80::9b:c5ff:fe26:4b00/64 Scope:Link\n          UP BROADCAST RUNNING MULTICAST  MTU:9001  Metric:1\n          RX packets:9905 errors:0 dropped:0 overruns:0 frame:0\n          TX packets:3260 errors:0 dropped:0 overruns:0 carrier:0\n          collisions:0 txqueuelen:1000 \n          RX bytes:11135049 (10.6 MiB)  TX bytes:514905 (502.8 KiB)\n\nlo        Link encap:Local Loopback  \n          inet addr:127.0.0.1  Mask:255.0.0.0\n          inet6 addr: ::1/128 Scope:Host\n          UP LOOPBACK RUNNING  MTU:65536  Metric:1\n          RX packets:2 errors:0 dropped:0 overruns:0 frame:0\n          TX packets:2 errors:0 dropped:0 overruns:0 carrier:0\n          collisions:0 txqueuelen:1 \n          RX bytes:140 (140.0 b)  TX bytes:140 (140.0 b)\n\n", 
    "Status": "Success", 
    "StatusDetails": "Success", 
    "PluginName": "diagnose", 
    "ResponseCode": 0, 
    "ExecutionStartDateTime": "2017-04-19T22:13:47.122Z", 
    "CommandId": "666b0ea2-0004-4352-bddc-ac212e0e4090", 
    "StandardOutputUrl": "https://s3-us-west-1.amazonaws.com/run-command-blog/diagnostics/666b0ea2-0004-4352-bddc-ac212e0e4090/i-01222ecf7db201ca2/awsrunShellScript/0.diagnose/stdout"

最後，因為你設定了一個S3儲存桶，所有的命令呼叫的輸出結束將儲存在你指定的 S3的位置。

結論

在本文中，展示瞭如何使用“執行命令”以及其他AWS服務來對一組例項執行管理操作。“執行命令”提供了一種簡單且可擴充套件的方式來管理您的例項。 您可以控制傳送命令的速率，使用細粒度的許可權，並使用通知來簡化工作流程。

關於作者

Emily Freebairn是亞馬遜EC2系統管理團隊的軟體開發工程師。 她已經在亞馬遜工作了四年，從事Amazon EC2和系統管理器的“執行命令”和其他功能。 在工作之餘，她喜歡帆船和跳舞。