alibabacloud-cloudfw-vpc-firewall-diagnosis

VPC ファイアウォールのプロビジョニング失敗の診断

前提条件

CLI ツール

• aliyun-cli のバージョン：3.3.0 以上。
• 確認方法：aliyun version。

Python ランタイム

• Python のバージョン：scripts/analyze_routes.py および scripts/closure_precheck.py では Python 3.6 以上。
• 依存関係：標準ライブラリのみ（json、subprocess、sys）。

Alibaba Cloud の認証情報

aliyun configure で CLI プロファイルを設定し、すべてのコマンドで --profile <profile> を指定して認証情報を渡します。

aliyun configure --profile <profile-name>
# Enter AccessKey ID, AccessKey Secret, Region, and output format as prompted.

コマンド、スクリプト、ドキュメントに AccessKey の値をハードコードしないでください。references/profile_setup_guide.md を参照してください。

必要な RAM 権限

このスキルは読み取り専用の診断ツールです。以下の読み取り専用アクションのみを最小限付与してください。

アクション	目的
cloudfw:DescribeTrFirewallsV2List	VPC ファイアウォールの一覧と主要なステータスフィールドを照会します。
cloudfw:DescribeVpcFirewallList	VPC 境界ファイアウォールの情報を照会します。
cloudfw:DescribeVpcFirewallPrecheckDetail	事前チェックの詳細を照会します。この API では --Region を使用し、--RegionId は使用しません。
cloudfw:DescribeFirewallTask	ドレインタスクのステータスと ErrorDetail を照会します。
cloudfw:DescribeTrFirewallPolicyBackUpAssociationList	ロールバック対象のルートテーブルを照会します。
cloudfw:DescribeVpcFirewallControlPolicy	VPC ファイアウォールの ACL ポリシーを照会します。
actiontrail:LookupEvents	最近の操作履歴を照会します。
cbn:ListTransitRouters	CEN インスタンスに属するトランジットルーターを照会します。
cbn:ListTransitRouterRouteTables	トランジットルーターのルートテーブルを照会します。
cbn:ListTransitRouterRouteEntries	ルート比較用のルートエントリを照会します。
cbn:ListTransitRouterVpcAttachments	VPC アタッチメントを照会します。
vpc:DescribeVpcs / vpc:DescribeVpcAttribute	VPC の基本属性を照会します。
sts:GetCallerIdentity	プロファイルの ID を検証します。

権限の詳細については、references/ram-policies.md に記載されています。

User-Agent の要件

Alibaba Cloud のすべてのサービス呼び出しには、次を含める必要があります。

--user-agent AlibabaCloud-Agent-Skills/alibabacloud-cloudfw-vpc-firewall-diagnosis

Alibaba Cloud CLI の AI モードとプラグインの更新

このスキルで Alibaba Cloud サービスの CLI コマンドを実行する前に、CLI の AI モードを初期化し、プラグインを更新してください。

aliyun configure ai-mode enable
aliyun configure ai-mode set-user-agent --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cloudfw-vpc-firewall-diagnosis
aliyun plugin update

診断ワークフローの終了後、AI モードを無効にしてください。

aliyun configure ai-mode disable

ルール：

• AI モードを有効にするのは診断ワークフローの実行中のみとし、完了後は無効にしてください。
• set-user-agent では、スキルの完全な識別子 AlibabaCloud-Agent-Skills/alibabacloud-cloudfw-vpc-firewall-diagnosis を使用してください。
• plugin update はローカル／システムの CLI コマンドです。小文字とハイフンを使用したプラグインアクションを最新の状態にするため、サービス API の呼び出し前に実行してください。このシステムコマンドには --user-agent を追加しないでください。
• aliyun version、aliyun configure list、python3 --version などのローカルのみで実行される環境コマンドは、Alibaba Cloud のサービス API を呼び出さないため、User-Agent フラグは不要です。

環境の検証

診断の前に、次の読み取り専用チェックを実行してください。

aliyun version
aliyun configure list
aliyun sts get-caller-identity --profile <profile> --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cloudfw-vpc-firewall-diagnosis
python3 --version

必須の実行ルール

実行する前に、毎回次の手順を行ってください。

1. この SKILL.md 全体を読みます。
2. references/execution_standards.md を読みます。
3. 該当するシナリオを特定します。
4. シナリオの手順に厳密に従い、必須の手順を省略しないでください。

基本原則：読み取り専用の診断

このスキルは、読み取り専用の診断アシスタントです。

絶対に禁止されていること

1. 作成、変更、削除、アタッチ、デタッチ、有効化、無効化、または設定を変更する操作を実行しないでください。
2. 具体的なパラメーター値を含む、実行可能な書き込みコマンドを完全な形で提示しないでください。
3. Alibaba Cloud リソースを変更しないでください。
4. 認証情報やプロファイル名をハードコードしないでください。

適切な修正案の提示方法

• 設定に関する案内はテキストのみで提示します。
• 必要な設定項目とコンソール上の移動経路を列挙します。
• リスク、依存関係、検証ポイントを説明します。
• すべての設定変更は、コンソールまたは承認済みの独自ワークフローでユーザー自身が手動で行うようにしてください。

標準レポートの宣言

すべての診断レポートは、次の内容から始める必要があります。

Notice: This tool is a read-only diagnostic assistant. It only provides analysis and configuration guidance and will not perform any configuration changes.
Please apply all configuration changes manually in the Alibaba Cloud Console or through your own approved process.

許可されるコマンドのカテゴリ

• AI-Mode のセットアップコマンド：aliyun configure ai-mode enable、aliyun configure ai-mode set-user-agent、aliyun plugin update、および最後に実行する aliyun configure ai-mode disable。
• 読み取り専用の aliyun cloudfw describe-* クエリ。
• 読み取り専用の aliyun cbn list-* および aliyun cbn describe-* クエリ。
• 読み取り専用の操作履歴クエリ aliyun actiontrail lookup-events。
• ID の検証 aliyun sts get-caller-identity。
• 環境の確認：aliyun version、aliyun configure list、python3 --version。
• cat、ls、grep、find、pwd、which、date、stat、file などの、ローカルでの読み取り専用の確認コマンド。
• 同梱の読み取り専用スクリプト：scripts/analyze_routes.py および scripts/closure_precheck.py。

許可リストに一致しない Bash コマンドには、permissionDecision=ask を返す必要があります。

必須のユーザー入力

診断の前に、必要な情報をすべて一度に収集してください。

1. CLI プロファイル名（例：default）。
2. クロスリージョンのケースかどうか。
3. CEN インスタンス ID。
4. クロスリージョンの場合はリージョン ID（例：cn-hangzhou）。
5. 問題の種類：作成失敗、ルートポリシーの設定失敗、またはクローズ前の事前チェック。

必要な入力が確認されるまで、先に進まないでください。

クローズ前の事前チェックに関する厳守ルール

• ルートを手動で比較しないでください。
• 必ずルートテーブルの JSON 出力を保存し、scripts/analyze_routes.py を実行してください。
• TotalCount だけからルートの安全性を推測しないでください。
• 最終的なルートリスクの結論は、スクリプトの出力に基づいて作成してください。

詳細な手順：references/closure_precheck_guide.md。

シナリオのクイックリファレンス

シナリオ 1：VPC ファイアウォールの作成失敗

最初に describe-tr-firewalls-v2-list をクエリし、次に PrecheckStatus、ResultCode、ファイアウォールのステータスフィールドを確認してください。references/diagnosis_steps.md を参照してください。

シナリオ 2：ルートポリシーの設定失敗

最初に --TaskType VPC および --ChildInstanceId <vpc-id> を指定して describe-firewall-task をクエリしてください。references/diagnosis_steps.md を参照してください。

シナリオ 3：クローズ前の事前チェック、自動ドレナージモード

モードを特定し、OriginalRouteTableId を取得して、scripts/analyze_routes.py を実行し、ACL ポリシーを確認してリスクを評価してください。

シナリオ 4：クローズ前の事前チェック、手動ドレナージモード

現在およびターゲットのルートテーブル ID を収集し、scripts/analyze_routes.py を実行し、ACL ポリシーを確認してリスクを評価してください。

厳守すべき禁止事項

• シナリオで最初に必須とされる API を省略しないでください。
• ユーザーが明示的により広い範囲を指定しない限り、24 時間より前のログをクエリしないでください。
• DescribeFirewallV2List は、このスキルでは無効な API のため、使用しないでください。
• 事前チェックの結果だけに頼らないでください。最終的な証拠として ErrorDetail と ActionTrail を使用してください。
• 診断ロジックに、記憶や外部の過去の知識を頼らないでください。このスキルだけで完結する必要があります。

主要な API と CLI アクション

API	CLI アクション	サービス	必須パラメーター	目的
DescribeTrFirewallsV2List	describe-tr-firewalls-v2-list	cloudfw	--RegionId	VPC ファイアウォールの一覧を照会します。
DescribeFirewallTask	describe-firewall-task	cloudfw	--TaskType VPC、--ChildInstanceId <vpc-id>	ルートポリシータスクのステータスを照会します。
DescribeTrFirewallPolicyBackUpAssociationList	describe-tr-firewall-policy-back-up-association-list	cloudfw	--FirewallId、--TrFirewallRoutePolicyId	ロールバック対象のルートテーブルを照会します。
DescribeVpcFirewallControlPolicy	describe-vpc-firewall-control-policy	cloudfw	--VpcFirewallId、--PageSize、--CurrentPage	ACL ポリシーを照会します。
LookupEvents	lookup-events	actiontrail	--StartTime、--EndTime、--LookupAttribute.1.Key、--LookupAttribute.1.Value	操作履歴を照会します。
ListTransitRouterRouteTables	list-transit-router-route-tables	cbn	--RegionId、--TransitRouterId	ルートテーブルを照会します。
ListTransitRouterRouteEntries	list-transit-router-route-entries	cbn	--TransitRouterRouteTableId	ルートエントリを照会します。

重要な注意事項：

• DescribeVpcFirewallPrecheckDetail では --Region を使用し、--RegionId は使用しません。
• ListTransitRouterRouteEntries では --TransitRouterId は不要です。
• LookupEvents ではドット記法を使用します：--LookupAttribute.1.Key。
• Alibaba Cloud サービスの CLI コマンドには、すべて --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cloudfw-vpc-firewall-diagnosis を指定する必要があります。
• aliyun version、aliyun configure list、aliyun configure ai-mode enable/disable、aliyun plugin update などのローカル／システムコマンドには、User-Agent フラグを追加しないでください。
• 診断の前に AI-Mode を有効にし、スキルの User-Agent を設定してください。ワークフローの後に AI-Mode を無効にしてください。
• CLI プロファイルのオプションは小文字です：--profile。

出力形式

失敗シナリオでは、根本原因、証拠、推奨する修正措置を報告してください。 クローズ前チェックのシナリオでは、ルートのロールバックリスク、ACL ポリシーのリスク、推奨する手動操作、検証項目を報告してください。 証拠は簡潔にまとめ、診断に必要な場合を除き、リソースの全一覧や機密識別子を公開しないでください。

参照資料

• クローズ前チェックガイド
• 診断手順の全容
• 診断ルール
• API リファレンスの全容
• ファイアウォールのライフサイクル
• 実行標準