私有子网中Fargate容器内AmazonEC2Client调用超时排查

你的代码在本地正常但私有子网Fargate容器中无法调用EC2 API，核心问题在于私有子网内的资源无法直接访问AWS公共服务端点，加上可能的IAM权限缺失，具体解决步骤如下：

1. 配置EC2 VPC接口端点（推荐方案） #

私有子网中的Fargate容器要访问EC2 API，最安全高效的方式是通过VPC内网端点，无需走公网：

• 登录AWS VPC控制台，创建接口端点，服务选择com.amazonaws.<你的区域>.ec2
• 将端点关联到你的目标私有子网，并选择容器使用的安全组（你已配置VPC CIDR的所有流量规则，可满足端点与容器的双向通信要求）
• 配置完成后，容器会自动通过内网路由访问EC2 API，无需额外修改代码

2. 检查并配置IAM角色权限 #

本地运行时使用的是个人AWS凭据（通常具备足够权限），但Fargate容器依赖任务角色/执行角色，需确保角色拥有ec2:DescribeSubnets权限：

• 打开IAM控制台，找到Fargate任务对应的角色
• 添加包含ec2:DescribeSubnets权限的政策，可直接使用内置政策AmazonEC2ReadOnlyAccess，或自定义最小权限政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:DescribeSubnets",
            "Resource": "*"
        }
    ]
}

3. 备选方案：配置NAT网关（不推荐，需走公网） #

如果允许通过公网访问EC2 API，可配置NAT网关：

• 在公有子网中创建NAT网关并分配弹性IP
• 修改私有子网的路由表，添加目标为0.0.0.0/0的路由，指向NAT网关
• 确保NAT网关所在公有子网的路由表有指向互联网网关的路由

注意：此方案会让容器流量走公网，安全性低于VPC端点方案，仅在无法使用端点时考虑

内容的提问来源于stack exchange，提问作者Paul