Infrastrukturfehler diagnostizieren, Ressourcen prüfen und AWS CLI-Befehle mit Amazon Q Developer in der AWS Console generieren

Cloud-Ingenieure und DevOps-Experten verbringen einen erheblichen Teil ihres Arbeitsalltags in der AWS Management Console, um betriebliche Störungen zu beheben, Ressourcenkonfigurationen zu auditieren und manuelle Einstellungen in automatisierte Skripte zu überführen. Bisher erforderte dieser Prozess den ständigen Wechsel zwischen verschiedenen Service-Konsolen, die mühsame Analyse von CloudTrail-Ereignissen, das Entschlüsseln komplexer IAM-Richtlinienauswertungen und das Nachschlagen in der AWS CLI-Dokumentation, um fehlerfreie Terminalbefehle zusammenzusetzen.

Mit der nativen Integration von Amazon Q Developer in die AWS Management Console können Betriebsteams nun Fehlerursachen direkt am Entstehungsort analysieren, den Live-Zustand von Ressourcen im Dialog abfragen und präzise, produktionsreife AWS CLI-Befehle direkt aus ihren Konsolenaktionen ableiten.

1. Infrastrukturfehler direkt in der Konsole diagnostizieren

Einer der unmittelbarsten operativen Vorteile von Amazon Q Developer ist die automatisierte Ursachenanalyse (Root Cause Analysis), die direkt in den Fehlermeldungen der AWS Management Console integriert ist.

Funktionsweise der Konsolendiagnose

Tritt bei einem Vorgang in einer unterstützten Service-Konsole ein Fehler auf, erscheint neben dem roten Fehlerbanner die Schaltfläche Diagnose with Amazon Q (oder Inspect with Amazon Q). Ein Klick darauf öffnet ein seitliches Diagnosefenster, das eine kontextbezogene Fehlerbehebung durchführt, ohne dass Sie Ihre aktuelle Arbeitsansicht verlassen müssen.

Zu den wichtigsten unterstützten Konsolen zählen:

• Amazon EC2: Fehler beim Starten von Instanzen, Kapazitätsengpässe (Insufficient Capacity) und Probleme bei VPC-Zuordnungen.
• Amazon ECS: Fehler bei der Task-Platzierung (Task Placement), Container-Abstürze und Probleme bei der Dienststabilisierung.
• AWS Lambda: Fehlkonfigurationen von Funktionen, unzureichende Ausführungsrollen und Verbindungsabbrüche zu VPC-Endpunkten.
• Amazon S3: Namenskonflikte bei Buckets, 403 Access Denied-Fehler und Syntaxfehler in Bucket-Richtlinien.
• AWS Step Functions: Abbrüche bei der State-Machine-Ausführung und Integrationsfehler mit nachgelagerten Services.
• AWS CloudFormation: Fehlgeschlagene Stack-Bereitstellungen und Ursachen für Stack-Rollbacks.
• AWS IAM: Zugriffsverweigerungen und Richtlinienbewertungen über alle Konsolenseiten hinweg.

Was im Hintergrund geschieht: Kontexterfassung und Kontoabfrage

Amazon Q Developer liest nicht bloß den statischen Text der Fehlermeldung aus, sondern führt eine strukturierte Untersuchung durch:

1. Kontextautomatisierung: Amazon Q erfasst den Fehlercode, die vollständige Konsolen-URL, die aktive AWS-Region, die IAM-Identität (Benutzer oder angenommene Rolle) sowie die aktuellen Formulareingaben. Bei einem Fehler unter https://s3.console.aws.amazon.com/s3/bucket/prod-data-archive/delete?region=us-east-1 erkennt Q automatisch aws_region = "us-east-1" und s3_bucket_name = "prod-data-archive".
2. Kontoabfrage über die Cloud Control API (CCAPI): Bei komplexen Berechtigungs- oder Abhängigkeitsfehlern führt Amazon Q aktive, lesende Abfragen über die AWS Cloud Control API (cloudformation:GetResource und cloudformation:ListResources) durch, um den Zustand der betroffenen Ressourcen zu prüfen.
3. Abgleich von IAM-Richtlinien: Bei AccessDenied-Fehlern prüft Q sowohl die identitätsbasierten Richtlinien der aktiven Rolle als auch die ressourcenbasierten Richtlinien der Zielkomponente. So wird ermittelt, ob ein fehlendes Allow, ein explizites Deny oder eine nicht erfüllte Bedingung (Condition Key) die Blockade verursacht.
4. Schritt-für-Schritt-Anleitung zur Problembehebung: Ein Klick auf Help me resolve erzeugt einen strukturierten Aktionsplan. Statt allgemeiner Platzhalter enthält die Anleitung die tatsächlichen Bucket-Namen, Sicherheitsgruppen-IDs und ARNs Ihrer Umgebung.

Falls ein Fehler nicht durch eigene Konfigurationsänderungen gelöst werden kann, unterstützt Amazon Q beim Verfassen eines AWS Support-Tickets und übernimmt den gesamten Diagnosekontext automatisch.

2. Ressourcenkonfigurationen über den Amazon Q Chat überprüfen

Neben der reaktiven Fehlerbehebung müssen DevOps-Ingenieure regelmäßig bestehende Infrastrukturen auditieren, Sicherheitsvorgaben prüfen und Abhängigkeiten zwischen Services nachvollziehen. Die Amazon Q-Chatleiste in der oberen Navigationsleiste der Konsole fungiert dabei als operativer Assistent.

Ressourcen mit natürlicher Sprache erfassen und auditieren

Statt temporäre Skripte zu schreiben oder sich durch verschachtelte Menüs zu klicken, können Administratoren den Zustand ihres Kontos mit einfachen Prompts abfragen:

• Ungenutzte Ressourcen aufspüren: "Liste alle getrennten EBS-Volumes in us-east-1 auf, die seit mehr als 7 Tagen nicht genutzt werden."
• Sicherheitsgruppen prüfen: "Überprüfe die Sicherheitsgruppe sg-0a1b2c3d4e5f und nenne mir alle Inbound-Regeln, die Datenverkehr von 0.0.0.0/0 auf Port 22 oder 3389 erlauben."
• Abhängigkeiten ermitteln: "Welche Lambda-Funktionen und DynamoDB-Tabellen sind mit dem CloudFormation-Stack api-production-v2 verknüpft?"
• Compliance-Prüfung: "Prüfe, ob für den S3-Bucket customer-exports-2026 Object Lock und serverseitige Standardverschlüsselung aktiv sind."

Amazon Q greift dabei auf die Cloud Control API und AWS Resource Explorer zurück und liefert in den Antworten direkte Konsolen-Links (Deep Links) zu den entsprechenden Ressourcen mit.

Berechtigungskonflikte lösen und Kosten analysieren

• Ursache von Zugriffsproblemen: "Warum erhält meine Rolle DevOpsAdmin beim Aufruf von ec2:DescribeInstances einen AccessDenied-Fehler?" Q analysiert Service Control Policies (SCPs), Permissions Boundaries und Session Policies, um die Restriktion zu lokalisieren.
• FinOps-Vergleiche: "Vergleiche die On-Demand-Preise und 1-Jahres-Savings-Plans für c6i.2xlarge und c7i.2xlarge in us-east-1." Q liefert aktuelle Preisübersichten, die Entscheidungen zur Instanzdimensionierung erleichtern.

3. Generierung und Anpassung von AWS CLI-Befehlen

Die Überführung manueller Konsolenaktionen in automatisierbare Befehle und Skripte ist ein zentraler Bestandteil moderner DevOps-Praktiken. Amazon Q bietet dafür zwei Wege in der Konsole an.

Weg A: AWS Console-to-Code (Aktionen aufzeichnen und konvertieren)

AWS Console-to-Code zeichnet Konsolenklicks auf und leitet daraus automatisch die exakten AWS CLI-Befehle ab, die zur Reproduktion erforderlich sind.

Ablauf mit Console-to-Code:

1. Unterstützte Konsole aufrufen: Console-to-Code ist in den Konsolen von Amazon EC2, Amazon VPC und Amazon RDS verfügbar.
2. Aufzeichnung starten: Öffnen Sie das Seitenpanel AWS Console-to-Code und wählen Sie Start recording.
3. Konfiguration durchführen: Nehmen Sie die gewünschten Einstellungen vor – etwa die Auswahl von Subnetzen, Sicherheitsgruppen und IMDSv2-Metadatenoptionen beim Start einer EC2-Instanz oder die Anpassung einer RDS-Parametergruppe.
4. Aufzeichnung stoppen: Klicken Sie auf Stop. In der Tabelle Recorded actions sehen Sie alle ausgelösten API-Aufrufe. Filtern Sie nach Schreiboperationen (Write).
5. CLI-Befehl kopieren: Wählen Sie den Vorgang aus (z. B. RunInstances oder CreateDBInstance) und klicken Sie auf Copy CLI. Der vollständige Befehl mit allen parametrierten Argumenten steht sofort zur Verfügung.

Code-Vorschau ohne Ressourcenerstellung (Preview Code)

In Start-Assistenten für EC2-Instanzen oder Auto Scaling-Gruppen können Sie vor dem Erstellen der Ressourcen auf Preview code klicken. So erhalten Sie den fertigen AWS CLI-Befehl oder Infrastructure as Code (CDK in Python, TypeScript, Java oder CloudFormation), ohne Testressourcen anlegen oder unnötige Kosten verursachen zu müssen.

Weg B: Befehlsgenerierung im Amazon Q Chat

Für spontane Betriebsaufgaben oder gezielte Syntaxabfragen können Befehle direkt im Chatfenster formuliert werden:

Beispiel-Prompt:

"Erstelle einen AWS CLI-Befehl, um die Auto Scaling-Gruppe web-asg-prod in der Region us-west-2 auf mindestens 2, gewünscht 6 und maximal 10 Instanzen zu aktualisieren."

Erzeugte Ausgabe:

aws autoscaling update-auto-scaling-group \
    --auto-scaling-group-name web-asg-prod \
    --min-size 2 \
    --desired-capacity 6 \
    --max-size 10 \
    --region us-west-2

Amazon Q prüft Pflichtparameter, formatiert den Befehl lesbar über mehrere Zeilen mit Backslashes und erläutert die verwendeten Optionen. Der Code kann direkt in die in der Konsole integrierte AWS CloudShell eingefügt oder in Skripte übernommen werden.

Vergleich: Console-to-Code vs. Amazon Q Chat

4. Governance, Sitzungseigenschaften und Preismodelle

Beim produktiven Einsatz von Amazon Q Developer im DevOps-Umfeld sollten betriebliche Rahmenbedingungen beachtet werden:

• Strikte IAM-Rechtegrenzen: Amazon Q kann niemals Berechtigungen erlangen, die über die IAM-Rolle des angemeldeten Benutzers hinausgehen. Sämtliche CCAPI-Leseabfragen erfolgen im Namen der aktiven Identität und werden lückenlos in AWS CloudTrail auditiert.
• Flüchtige Browser-Sitzungen: Diagnoseverläufe und Aufzeichnungen in Console-to-Code werden ausschließlich im Arbeitsspeicher des jeweiligen Browser-Tabs vorgehalten. Beim Neuladen der Seite oder Schließen des Fensters gehen die Daten verloren. Benötigte Befehle sollten daher zeitnah kopiert werden.
• Kosten und Kontingente: Die Extraktion von AWS CLI-Befehlen über Console-to-Code ist für alle Konsolenbenutzer kostenlos und unbegrenzt nutzbar. Die IaC-Generierung (CDK und CloudFormation) in Console-to-Code beinhaltet 25 kostenlose Vorgänge pro Monat. Für erweiterte Quoten und unternehmensweite Verwaltung über das IAM Identity Center steht Amazon Q Developer Pro (19 USD pro Benutzer/Monat) bereit.
• Sicherheitsüberprüfung vor Ausführung: Befehle mit veränderndem oder löschendem Charakter (wie aws ec2 terminate-instances oder aws rds delete-db-instance) müssen vor der Ausführung in CloudShell oder Skripten stets auf Richtigkeit aller Parameter kontrolliert werden.

Referenzen

• Unlocking AWS Console: Diagnosing Errors with Amazon Q Developer | Amazon Web Services
• Convert AWS console actions to reusable code with AWS Console-to-Code, now generally available | Amazon Web Services
• Amazon Q Developer
• AI for Software Development – Amazon Q Developer Pricing – AWS
• Amazon Q Developer User Guide - Console-to-Code