预发布环境中GitHub Actions触发的ECS任务无法连接数据库

通过GitHub Actions工作流运行ECS任务时，预发布环境下任务启动后触发Npgsql.NpgsqlException (0x80004005): Failed to connect...数据库连接超时异常，但开发环境无此问题。奇怪的是，用完全相同的配置从AWS控制台手动启动任务则完全正常，对比两种方式创建的任务，所有可见配置均一致。已尝试授予全部IAM权限、开放所有端口测试，问题仍未解决。

GitHub Actions工作流片段：

- name: Run My Task
  run: |
    aws ecs run-task --cluster ${{ env.ECS_CLUSTER }} --task-definition MyTaskDefinition --launch-type FARGATE --network-configuration "awsvpcConfiguration={subnets = [ ${{ env.SUBNET_A }},${{ env.SUBNET_B }} ], securityGroups=[${{ env.SECURITY_GROUP }}],assignPublicIp=ENABLED}"

已确认事项：

• 所有环境变量与控制台使用的完全一致
• 两种启动方式使用相同的安全组和子网
• 任务及任务执行使用相同的IAM角色
• 使用完全相同的任务定义

额外上下文：

• 数据库为PostgreSQL实例
• 仅预发布环境出现该问题，开发环境正常
• 开发与预发布环境无已知显著差异

可能原因分析及解决建议 #

1. 公共IP分配延迟问题 #

FARGATE模式下assignPublicIp=ENABLED时，任务启动后公共IP可能并非立即可用。控制台手动启动时可能有隐性等待逻辑，而GitHub Actions触发的任务直接执行数据库连接操作，此时IP尚未完成绑定导致超时。

• 解决：在任务启动脚本中添加等待逻辑，比如通过AWS CLI检查任务的公共IP状态，确认IP可用后再执行数据库连接操作。

2. VPC DNS解析差异 #

预发布环境的VPC可能存在DNS解析配置问题，GitHub Actions触发的任务在DNS解析时出现延迟或失败，而控制台启动的任务因缓存或解析优先级差异正常工作。

• 解决：检查预发布环境VPC的DNS服务器配置，对比开发环境；在任务内手动测试数据库域名解析（比如nslookup your-db-host），确认解析结果是否正确。

3. AWS API调用的隐性参数差异 #

尽管可见配置一致，但GitHub Actions通过AWS CLI调用run-task时，可能存在默认参数与控制台调用不同的情况（比如平台版本、容量提供者策略等隐性配置）。

• 解决：通过AWS CLI添加--debug参数运行命令，捕获完整的API请求参数，与控制台启动任务时的API请求（可通过CloudTrail查看）对比，找出隐藏的参数差异。

4. 预发布环境数据库的连接限制 #

预发布环境的PostgreSQL实例可能存在连接数限制、IP白名单隐性规则（比如GitHub Actions的Runner IP被限制），控制台启动的任务因来源IP在白名单内而正常连接。

• 解决：检查PostgreSQL的pg_hba.conf配置，确认是否有IP段限制；查看数据库连接日志，确认GitHub Actions触发的任务来源IP是否被拒绝；临时关闭IP白名单测试是否能正常连接。

5. 任务执行角色的临时凭证问题 #

虽然使用相同的IAM角色，但GitHub Actions触发的任务获取临时凭证的流程可能与控制台不同，导致隐性权限缺失（比如访问数据库凭证存储服务的权限）。

• 解决：在任务内添加日志，打印IAM临时凭证的权限信息；检查预发布环境的凭证存储服务（如Secrets Manager）的权限配置，确保任务执行角色能正常获取数据库凭证。

内容的提问来源于stack exchange，提问作者JSnoops