排除 Session Manager 的故障

解决方案：系统管理员尚未授予您启动 Session Manager 会话的 Amazon Identity and Access Management (IAM) 策略权限。有关信息，请参阅控制用户会话对实例的访问权限。

解决方案：系统管理员尚未授予您设置 Session Manager 首选项的 IAM policy 权限。有关信息，请参阅 授予或拒绝更新 Session Manager 首选项的用户权限。

解决方案 A：可能尚未为 Amazon Systems Manager 配置您要连接的托管式节点。有关更多信息，请参阅设置 Amazon Systems Manager。

解决方案 B：您应用于托管式节点上 SSM Agent 的代理配置可能不正确。如果代理配置不正确，托管式节点将无法到达所需的服务终端节点，或节点可能会向 Systems Manager 报告为不同的操作系统。有关更多信息，请参阅 配置 SSM Agent 以使用代理（Linux） 和 配置 SSM Agent以使用 Windows Server 实例的代理。

解决方案 A：托管式节点已配置为可以使用 Systems Manager 服务，但附加到节点的 IAM 实例配置文件不包含 Session Manager 功能所需的权限。有关信息，请参阅验证或创建具有 Session Manager 权限的 IAM 实例配置文件。

解决方案 B：托管式节点未运行支持 Session Manager 的 SSM Agent 版本。将节点上的 SSM Agent 更新为版本 2.3.68.0 或更高版本。

根据操作系统类型，按照 在适用于 Windows Server 的 EC2 实例上手动安装 SSM Agent、在适用于 Linux 的 EC2 实例上手动安装 SSM Agent 或 在适用于 macOS 的 EC2 实例上使用 SSM Agent 中的步骤操作，手动更新托管式节点上的 SSM Agent。

或者，使用 Run Command 文档 AWS-UpdateSSMAgent 一次性更新一个或多个托管式节点上的代理版本。有关信息，请参阅 使用 Run Command 更新 SSM Agent。

解决方案 C：托管式节点无法到达必要的服务终端节点。您可以使用由 Amazon PrivateLink 提供支持的接口端点连接到 Systems Manager 端点，以提高托管式节点的安保状况。使用接口端点的替代方法是，在托管式节点上允许出站互联网访问。有关更多信息，请参阅使用 PrivateLink 为 Session Manager 设置 VPC 端点。

解决方案 D：托管式节点的可用 CPU 或内存资源有限。尽管您的托管式节点可能正常运行，但是如果该节点没有足够的可用资源，则您无法建立会话。有关更多信息，请参阅对无法访问的实例进行故障排除。

解决方案 A：如果会话的指定目标托管式节点未完全配置为与 Session Manager 一起使用，则会返回此错误。有关信息，请参阅 设置 Session Manager。

解决方案 B：如果您尝试在位于不同 Amazon Web Services 账户 或 Amazon Web Services 区域 的托管式节点上启动会话，也会返回此错误。

解决方案 A：如果托管式节点上的根卷已满，则可能出现此问题。由于磁盘空间不足，节点上的 SSM Agent 停止工作。要解决此问题，请使用 Amazon CloudWatch 从操作系统中收集指标和日志。有关信息，请参阅监控 Amazon EC2 Linux 实例的内存和磁盘指标或监控 Amazon EC2 Windows 实例的内存和磁盘指标。

解决方案 B：如果您使用包含不匹配端点和区域对的链接访问控制台，则会显示空白屏幕。例如，在以下控制台 URL 中，us-west-2 是指定的端点，但 us-west-1 是指定的 Amazon Web Services 区域。

https://us-west-2.console.aws.amazon.com/systems-manager/session-manager/sessions?region=us-west-1

解决方案 C：托管式节点正在使用 VPC 终端节点连接到 Systems Manager，并且您的 Session Manager 首选项将会话输出写入 Amazon S3 存储桶或 Amazon CloudWatch Logs 日志组，但 VPC 中不存在 s3 网关端点或 logs 接口端点。如果您的托管式节点使用 VPC 终端节点连接到 Systems Manager，并且您的 Session Manager 首选项将会话输出写入 Amazon S3 存储桶，则需要格式为 com.amazonaws.region.s3 的 s3 端点。或者，如果您的托管式节点使用 VPC 终端节点连接到 Systems Manager，并且您的 Session Manager 首选项将会话输出写入 CloudWatch Logs 日志组，则需要格式为 com.amazonaws.region.logs 的 logs 端点。有关更多信息，请参阅为 Systems Manager 创建 VPC 终端节点。

解决方案 D：您在会话首选项中指定的日志组或 Amazon S3 存储桶已删除。要解决此问题，请使用有效的日志组或 S3 存储桶更新会话首选项。

解决方案 E：您在会话首选项中指定的日志组或 Amazon S3 存储桶未加密，但您已将 cloudWatchEncryptionEnabled 或 s3EncryptionEnabled 输入设置为 true。要解决此问题，请使用加密的日志组或 Amazon S3 存储桶更新会话首选项，或将 cloudWatchEncryptionEnabled 或 s3EncryptionEnabled 输入设置为 false。此方案仅适用于使用命令行工具创建会话首选项的客户。