在私有子网中的 EC2 上安装 Cloudwatch 代理

Question

我正在尝试在私有子网后面的 EC2 实例上安装云监视代理（无法访问 Internet）。 所有在线文档似乎都是使用 Internet 获取 RPM（通过 S3 下载链接或 AWS 系统管理器）。 我想弄清楚的是如何在没有互联网的情况下获得 RPM。 我有一个 s3 的 VPCE 设置，它能够从我自己的存储桶中获取对象，但是，据我了解，它不适用于下载链接。 我要遵循的文档： https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/download-cloudwatch-agent-commandline.html

如果重要的话，我正在使用 terraform 来部署我的基础设施。

有解决方案吗？

更新：用于 EC2 实例启动的 Shell 脚本

#!/bin/bash
cd /home/ec2-user
aws s3 cp s3://${bucket_name}/${zip_file} ${zip_file} --region ${region}

wget https://s3.us-east-1.amazonaws.com/amazoncloudwatch-agent-us-east-1/amazon_linux/amd64/latest/amazon-cloudwatch-agent.rpm

VPC 路由表：

101.0.0.0/16 本地激活 否

pl-xxxxx（com.amazonaws.us-east-1.s3、54.231.0.0/17、52.216.0.0/15、3.5.16.0/21、3.5.0.0/20）vpce-xxxxxxx 活动。 不

Answer 1

要从私有子网访问 Internet，您通常需要：

1. 公有子网中的NAT 网关或NAT 实例

2. 修改了私有子网的路由表，将互联网流量 (0.0.0.0/0) 指向 NAT 设备。

另一种方法是将 CloudWatch 代理存储在S3中，然后通过S3 VPC Gateway从那里下载。 如果这不起作用，则必须验证您的 VPC 终端节点设置和路由表。

您还可以使用代理和任何其他需要安装 Internet 的软件在公共子网中准备黄金 AMI 映像。 然后，您将实例部署在 AMI 的私有子网中。

Answer 2

S3 下载链接已在所有区域的文档中提供。 由于您已经设置了 S3 网关 VPC 终端节点，因此如果您使用您所在地区的特定于地区的 S3 下载链接，它将非常有用。 您不需要 NAT 或其他任何东西。