ECS集群设置最小容量1却无实例创建问题求助

问题背景 #

创建名为fib-cluster-10的ECS集群，设置最小实例数为1，配套VPC包含2个私有子网、2个公有子网，安全组允许私有子网所有TCP流量，选择私有子网部署集群。ecsInstanceRole的策略配置如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeTags",
                "ecs:CreateCluster",
                "ecs:DeregisterContainerInstance",
                "ecs:DiscoverPollEndpoint",
                "ecs:Poll",
                "ecs:RegisterContainerInstance",
                "ecs:StartTelemetrySession",
                "ecs:UpdateContainerInstancesState",
                "ecs:Submit*",
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ecs:TagResource",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ecs:CreateAction": [
                        "CreateCluster",
                        "RegisterContainerInstance"
                    ]
                }
            }
        }
    ]
}

集群创建完成后关联实例数为0，部署TaskDefinition时收到集群无实例的错误提示。

排查步骤 #

• 检查私有子网网络连通性：确认私有子网关联的NAT网关处于可用状态，路由表已将0.0.0.0/0指向NAT网关，保证ECS实例能访问公网或ECS VPC终端节点，否则实例无法注册到ECS集群。
• 验证安全组出站规则：仅允许私有子网入站TCP流量不够，需确保安全组允许实例出站TCP流量到任意地址（或AWS ECS服务的IP范围），实例需要主动连接ECS服务完成注册。
• 核对IAM角色配置：检查ecsInstanceRole是否正确关联到ECS实例的启动模板/配置中；当前策略已包含核心注册权限，可补充ec2:DescribeInstances权限确保实例能获取自身信息。
• 查看EC2实例状态与日志：
  1. 前往EC2控制台确认是否有符合配置的EC2实例被创建，若未创建，检查启动模板/自动扩缩容配置是否存在错误。
  2. 若实例已创建，查看实例系统日志（EC2控制台→实例→操作→获取系统日志），搜索ECS关键字排查注册失败原因；同时查看实例内/var/log/ecs/ecs-agent.log日志，分析注册过程的报错信息。
• 确认集群基础设施配置：确保选择的实例类型、AMI为ECS兼容版本（推荐使用官方ECS优化AMI）；检查启动配置的用户数据是否正确设置集群名称：

  echo ECS_CLUSTER=fib-cluster-10 >> /etc/ecs/ecs.config
  

• 检查VPC与子网DNS设置：确认VPC的DNS支持状态为启用，子网的DNS解析配置正常，保证实例能解析ECS服务的域名（如ecs.<区域>.amazonaws.com）。

内容的提问来源于stack exchange，提问作者gvanto