「An error occurred (InvalidInstanceId) when calling the SendCommand operation」の解決法

Question

LambdaからEc2に仕込んだスクリプトをけろうとしています。
boto3を使ってssm send_commandを使おうとしたのですが表題のエラーが発生しました。
何らかの権限がどこかで不足していると思うのですが特定できません。
ご存知の方いれば教えてください。

Lambda

• リージョン=ap-southeast-1
• python 2.7
• ロールに以下のポリシーを割り当てています
  • AWSLambdaBasicExecutionRole-53aa52bb-0f0b-4b34-b13e-1be70c3915ac
  • AmazonEC2FullAccess
  • AmazonEC2RoleforSSM
  • AdministratorAccess
  • AmazonSSMFullAccess
  • AWSLambdaS3ExecutionRole-939eff20-bfdb-4148-8b5f-b2f4b280583b
  • AmazonSSMReadOnlyAccess

EC2

• リージョン=ap-southeast-1
• Amazon Linux2
• インスタンスはrunning状態（起動後１時間以上経過しています）
• service amazon-ssm-agent status →　running(=AWS SSM agentが実行中)

import boto3

def lambda_handler(event, context):
    ssm_client = boto3.client('ssm', region_name='ap-southeast-1')
    result = ssm_client.send_command(
        InstanceIds=[
            "i-XXXXXXXX"
        ],
        DocumentName = "AWS-RunShellScript",
        Parameters = {
           "commands": [
                "ls"
           ]    
        }
    )

START RequestId: 06d0c729-e17c-11e8-9e88-9ff8820ee684 Version: $LATEST
An error occurred (InvalidInstanceId) when calling the SendCommand operation: : InvalidInstanceId
Traceback (most recent call last):
  File "/var/task/lambda_function.py", line 31, in lambda_handler
    "ls"
  File "/var/runtime/botocore/client.py", line 314, in _api_call
    return self._make_api_call(operation_name, kwargs)
  File "/var/runtime/botocore/client.py", line 612, in _make_api_call
    raise error_class(parsed_response, operation_name)
InvalidInstanceId: An error occurred (InvalidInstanceId) when calling the SendCommand operation: 

END RequestId: 06d0c729-e17c-11e8-9e88-9ff8820ee684
REPORT RequestId: 06d0c729-e17c-11e8-9e88-9ff8820ee684	Duration: 3678.63 ms	Billed Duration: 3700 ms 	Memory Size: 128 MB	Max Memory Used: 53 MB	

Answer 1

解決ずみとは思いますが、念のため

スクリプトを配置したEC2側にもSSMFUllAccessに準じるIAMロールのアタッチをしていただくと解消すると思われます。
途中からの場合は、アタッチ後にサービスの再起動をお願いいたします

sudo systemctl restart  amazon-ssm-agent.service

/var/log/amazon/ssm/amazon-ssm-agent.logを確認し404の表記がなくなっていれば、SSMサービス側で対象のインスタンスが認識されたことになります。

Answer 2

以下の可能性があります。１つづつ確認してみましょう。

1.インスタンスIDが間違えている
2.インスタンスのあるリージョンがap-southeast-1ではない
3.インスタンスが実行中ではない
4.AWS SSM agentが未インストール又は実行中ではない

Comments

[ksilverwall]

回答有り難うございます。上記４点を確認しました。
がしかし特に問題のある場所を見つけられませんでした。
（質問にリージョン情報が抜けていたので追記しました。）

[moonphase]

既にずいぶん前から起動されているインスタンスに対してのSSM Agent経由でのlsコマンドの発行でしょうか？インスタンス起動直後の場合は時間をあけないとInvalidInstanceIdになる場合があります。

[ksilverwall]

情報ありがとうございます。インスタンス立ち上げたまま半日ほど試行錯誤していたので、起動後十分に時間は経過していると思います。
（本文に追記しました）

[moonphase]

次のコマンドを実行し、対象のインスタンスは表示されますか？確認をお願いします。
aws --region ap-southeast-1 ssm describe-instance-information --output text
以下、追記
SSM Agentの設定手順によってはSSM Agentを認識していない場合があります。
実際に試して見ましたが、先にSSM Agentを起動してからポリシーを割り当てると認識していない可能性があります。ポリシー割当後にSSM Agentを起動すれば認識しました。
ご参考になさってください。