主机安装Agent失败如何处理？

网络不通，访问超时，请检查网络配置

• Linux
  1. 确认服务器是否可正常访问网络。
     • 网络访问正常，执行2。
     • 网络访问异常，请检查网络配置，保证服务器可正常访问网络。
  2. 检查服务器所在安全组入方向是否放通22端口。

     HSS将通过SSH协议登录服务器安装Agent。因此，如果未放通22端口，HSS将无法完成Agent安装。

     安全组配置方式请参见配置安全组规则。

• Windows
  1. 确认服务器是否可正常访问网络。
     • 网络访问正常，执行2。
     • 网络访问异常，请检查网络配置，保证服务器可正常访问网络。
  2. 检查服务器所在安全组入方向是否放通5985端口。

     当通过脚本批量为主机安装Agent时，需要开放5985端口。

     除执行脚本的服务器，其他服务器的安全组入方向，要允许执行机（即执行脚本的服务器）的IP访问5985端口。HSS将以执行脚本的服务器作为执行机，通过5985端口登录目标服务器完成Agent安装。

     安全组配置方式请参见配置安全组规则。

认证错误，口令不正确，请检查口令

属于密码错误原因，请检查您填写的密码信息。

DEW未找到托管的私钥，请确认私钥是否已托管

请检查并将您的DEW密钥对恢复为“托管”状态。

metadata检查失败，请检查metadata信息

metadata获取失败，请参考Linux操作系统云服务器无法获取元数据怎么办？解决问题。

expect安装失败，请检查expect安装信息

请检查网络是否存在波动，待网络恢复正常后重试安装Agent。

如果网络正常仍然安装失败，请您在华为云管理控制台的右上角，单击“工单 > 新建工单”，通过工单向技术人员寻求帮助。

打通VPC网络失败，请VPCOperatePolicy授权权限，授权后重试安装

由于未将VPCOperatePolicy权限授予HSS，HSS无法打通不同VPC之间的网络。建议参考以下操作完成授权：

1. 登录企业主机安全控制台。
2. 在单击管理控制台左上角的，选择区域和项目。
3. 在左侧导航栏，选择“安装与配置 > 授权管理”，进入授权管理页面。
4. 单击授权列表左上方“新增授权”，将VPCOperatePolicy权限授予HSS。

关于VPCOperatePolicy权限的含义和作用，请参见授权管理。

从DEW密钥对列表中未查询到此主机密钥对，请检查密钥对是否存在

请检查并将您的DEW密钥对是否存在。

VPCEP打通失败，请检查VPCOperatePolicy授权权限，授权后检查可用ip数量

由于未将VPCEPOperatePolicy权限授予HSS，HSS无法创建终端节点（该节点用于Agent与HSS服务端进行通信）导致安装Agent失败。建议参考以下操作完成授权：

1. 登录企业主机安全控制台。
2. 在单击管理控制台左上角的，选择区域和项目。
3. 在左侧导航栏，选择“安装与配置 > 授权管理”，进入授权管理页面。
4. 单击授权列表左上方“新增授权”，将VPCEPOperatePolicy权限授予HSS。

关于VPCEPOperatePolicy权限的含义和作用，请参见授权管理。

密钥登录失败，请检查密钥是否正确

属于密钥错误原因，请检查您填写的密钥信息。

安装命令无权限执行

可能原因：/tmp目录不允许执行脚本，或bash没有执行权限等。

处理建议：

• 建议您检查上述目录或文件是否具有相应权限。
• 如果具备相应权限仍然安装失败，请您在华为云管理控制台的右上角，单击“工单 > 新建工单”，通过工单向技术人员寻求帮助。

下载安装文件失败，登录到机器上，复制单机安装命令，测试是否可以访问master，如不能访问，排查安全组配置、dns等问题

仅Linux主机会出现此类报错，建议参考以下操作排查安全组、DNS配置。

• 检查安全组

  登录服务器，执行以下命令，确认服务器安全组出方向是否放通100.125.0.0/16网段的10180端口。

  curl -kv https://hss-agent.区域代码.myhuaweicloud.com:10180

  命令中的区域代码，每个区域不同，各区域代码请参见地区和终端节点。

  以“华北-北京一”为例，完整命令示例：curl -kv https://hss-agent.cn-north-1.myhuaweicloud.com:10180

  • 已放通：ping命令执行正常，表示已放通100.125.0.0/16网段的10180端口。
  • 未放通：ping命令执行后，界面卡住不动，表示未放通100.125.0.0/16网段的10180端口，请参见添加安全组规则放通该端口。
• 检查DNS配置

  登录服务器，执行以下命令，确认服务器DNS能否正常解析下载Agent的域名。

  ping -c 1 hss-agent.区域代码.myhuaweicloud.com

  命令中的区域代码，每个区域不同，各区域代码请参见地区和终端节点。

  以“华北-北京一”为例，完整命令示例：ping -c 1 hss-agent.cn-north-1.myhuaweicloud.com

  • 解析成功：界面回显解析出的IP，表示DNS解析正常。
  • 解析失败：界面回显“name or service not known”或未解析出IP，表示DNS解析失败。请参考修改DNS。

磁盘不足

请检查以下目录，确保磁盘容量充足：

• Linux

  /usr/local：Agent默认安装路径，须确保磁盘可用容量大于300MB。

• Windows
  • C:\Users\xxx\Downloads：Agent安装包下载路径，须确保磁盘可用容量大于100MB。
  • C:\Program Files\HostGuard：Agent默认安装路径，须确保磁盘可用容量大于300MB。

从DEW获取密钥对列表为空，请检查是否已进行授权

请检查并确保您的密钥对已在DEW进行托管。

如果密钥对已完成托管，安装Agent时HSS仍然提示您未找到托管的私钥，可能是您当前的账号为IAM子账号或委托账号，缺少数据加密服务（DEW）中密钥对管理服务（KPS）相关权限。您可以前往IAM控制台，选择以下任一种方式进行授权：

• 授权方式1
  为安装Agent的账号授予DEW KeypairFullAccess权限（密钥对管理服务的所有权限）。

  • 账号授权：
    1. 将鼠标悬停在右上角用户名处。
    2. 选择“统一身份认证 > 用户 > 搜索需要授权的用户” ，单击用户名。
    3. 在“所属用户组”处，单击任意一个已加入的用户组。
    4. 选择“授权记录 > 授权” ， 搜索DEW KeypairFullAccess并勾选，单击“下一步” 。
    5. 单击“确定”。
  • 委托账号授权：
    1. 将鼠标悬停在右上角用户名处。
    2. 选择“统一身份认证 > 委托”-， 搜索hss_policy_trust后，单击委托名称。
    3. 选择“授权记录 > 授权”， 搜索DEW KeypairFullAccess并勾选，单击“下一步 ”。
    4. 单击“确定”。

• 授权方式2

如果您不希望安装Agent的账号具有删除密钥对等高危权限，您可以创建如下自定义策略，并将该策略授权给安装Agent的账号。具体创建步骤请参见创建自定义策略。

授权用户查询、导出密钥对策略：

{     
       "Version": "1.1",
       "Statement": [  
           {
              "Action": [
                    "kps:domainKeypairs:exportpk",
                    "kps:domainKeypairs:list",
                    "kps:domainKeypairs:get"
              ], 
              "Effect": "Allow
           } 
      ]

创建策略后，请参考授权方式1进行授权，您仅需要将授权方式1中的DEW KeypairFullAccess修改为自定义策略。

安装异常

请参考以下操作解决问题：

1. 登录企业主机安全控制台。
2. 在单击管理控制台左上角的，选择区域和项目。
3. 在左侧导航栏，选择“安装与配置 > 授权管理”，进入授权管理页面。
4. 查看授权列表中是否有VPCEPOperatePolicy、VPCOperatePolicy权限。
   • 是：请您在管理控制台的右上角，单击“工单 > 新建工单”，通过工单向技术人员寻求帮助。
   • 否：请您单击授权列表左上方“新增授权”，将VPCEPOperatePolicy、VPCOperatePolicy权限授予HSS后，重试安装Agent。

     关于上述权限的含义和作用，请参见授权管理。

网卡路由冲突不支持打通VPC网络，可通过命令行方式安装或者升级同vpc下的agent版本

由于您服务器的网卡和执行Agent安装的服务器已挂载的弹性网卡存在路由冲突，不支持打通VPC网络，建议通过命令行方式安装Agent。

具体操作请参见通过命令行或脚本为华为云主机安装Agent（本账号安装）。

没有相同VPC的最新版本agent在线虚拟机，请使用命令行方式安装或者升级同vpc下的agent版本

1. 请确认待安装Agent的服务器所在VPC下是否已有至少一台Agent在线的服务器。
   • 是，执行2。
   • 否，通过控制台界面安装Agent时需确保同VPC内至少有一台Agent在线的服务器，因为安装Agent时会选择同VPC内的主机作为执行机，如果没有在线的主机请参考通过命令行或脚本为华为云主机安装Agent（本账号安装）先为1台主机安装Agent。
2. 请确认Agent版本是否3.2.13及以上版本。
   • 是，重试安装Agent。
   • 否，请升级Agent，具体操作请参见升级主机Agent。

安装失败

请重试安装Agent，如果再次显示安装失败，请您在管理控制台的右上角，单击“工单 > 新建工单”，通过工单向技术人员寻求帮助。