AWS Elastic Beanstalk服务角色权限次日无故失效问题求助

问题概述 #

将Django应用部署至AWS Elastic Beanstalk时，创建环境当日可正常执行健康检查、更新配置及部署新版本，但次日无论通过EB CLI还是AWS控制台更新应用，均返回以下错误：

Failed to deploy configuration.
Failed to check health. Verify the permissions on the environment's service role and try again later. Permissions changes take up to two hours to propagate.

同一应用下创建新环境后，当日正常，次日仍出现相同问题，且已验证EB默认服务角色权限、IAM用户一致性及权限模拟器结果均无异常。

排查与解决步骤 #

1. 验证EB服务角色的信任关系 #

尽管权限策略正常，但角色的信任策略可能被自动或手动篡改：

• 进入IAM控制台，找到EB服务角色（默认命名为aws-elasticbeanstalk-service-role）
• 查看信任关系，确保包含以下内容：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "elasticbeanstalk.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
          "StringEquals": {
            "sts:ExternalId": "elasticbeanstalk"
          }
        }
      }
    ]
  }
  

• 若有缺失或修改，恢复上述默认配置，等待1-2小时权限生效后重试部署。

2. 检查EC2实例角色的健康相关权限 #

EB环境的EC2实例角色（默认aws-elasticbeanstalk-ec2-role）需具备上报健康状态的权限：

• 确认该角色已附加对应环境类型的EB管理策略：AWSElasticBeanstalkWebTier（Web环境）、AWSElasticBeanstalkWorkerTier（Worker环境）或AWSElasticBeanstalkMulticontainerDocker（多容器Docker环境）
• 排查是否有自定义权限策略限制了实例调用elasticbeanstalk:UpdateEnvironmentHealth、elasticbeanstalk:ReportInstanceHealth等API的权限。

3. 确认健康检查配置与网络连通性 #

• 进入EB控制台环境详情页，检查健康检查配置中的路径是否正确（Django应用需确保该路径返回200状态码，可临时配置/或自定义健康检查端点）
• 检查EC2实例安全组，确保AWS内部健康检查服务的IP段能访问实例的业务端口（通常为80或443）

4. 强制刷新环境健康状态 #

通过控制台或CLI手动触发健康状态刷新，消除缓存异常：

• CLI方式：执行命令

  eb health --refresh
  

• 控制台方式：进入环境详情页，选择操作 > 重新刷新健康状态，完成后重试部署。

5. 排查IAM权限边界限制 #

若EB服务角色或操作的IAM用户设置了权限边界，可能导致权限延迟生效或被限制：

• 进入IAM角色/用户详情页，查看权限边界设置，确认未禁止Elastic Beanstalk相关的核心操作
• 若存在限制，调整权限边界以允许EB服务的全量必要操作。

6. 检查AWS区域服务状态 #

查看AWS服务健康仪表盘，确认目标区域的Elastic Beanstalk服务无故障或性能异常，若为临时服务问题，等待恢复后重试。

内容的提问来源于stack exchange，提问作者Liam