AWS 故障注入模拟器返回“未授权执行所需操作。”答案

【问题标题】：AWS Fault Injection Simulator returning 'Not authorized to perform the required action.'AWS 故障注入模拟器返回“未授权执行所需操作。”
【发布时间】：2022-12-29 05:37:57
【问题描述】：

我正在尝试使用 AWS FIS 通过 ssm 发送命令 (aws:ssm:send-command/AWSFIS-Run-CPU-Stress) 对 ubuntu VM 上的 CPU 施加压力。

当我通过 ssh 连接到 VM 并使用“top”命令时，我看到 CPU 成功地从 0.3% 上升到 99.9%，但令人惊讶的是，FIS 实验最终以“失败”状态结束，标签为：“未授权执行所需操作” .

由于 cpu 肯定增加了，我什至在 99.9% 的 cpu 条目上看到命令名称“stress-ng-cpu”，知道为什么它仍然说“未授权”并最终处于失败状态吗？

谢谢。

【问题讨论】：

我注意到即使我运行 Run-Memory-Stress，也只有 %cpu 在增加，但 %MeM 没有增加。我猜 cpu 的峰值是 ssm 命令“尝试运行”的 bcos。我已经检查了角色策略和即时配置文件，但无法找出可能缺少的部分。

标签： amazon-web-services aws-fis

【解决方案1】：

在我完全删除我的并应用如下所示的权限后它起作用了：https://chaos-engineering.workshop.aws/en/030_basic_content/030_basic_experiment/10-permissions.html

发布此内容是为了让可能遇到类似问题的其他人受益。

【讨论】：

【解决方案2】：

问题可能是角色缺少权限，很可能是 ssm:ListCommands 或 ssm:CancelCommand，aws:ssm:send-command 操作 (https://docs.aws.amazon.com/fis/latest/userguide/fis-actions-reference.html#ssm-actions-reference) 需要这些权限

如果您只有 ssm:SendCommand 权限，该操作将能够启动（并注入故障），但随后在检查正在运行的实验的状态或尝试停止实验时它将失败。

FIS 实验将以失败状态结束，但 SSM 文档将继续运行，直到达到提供的持续时间。

【讨论】：