使用EC2启动类型向AWS ECS集群部署任务时出现警告

1. 区分EC2实例角色与ECS任务执行角色 #

EC2实例关联的IAM角色仅用于实例自身的AWS服务访问（比如拉取ECS任务定义、对接CloudWatch基础服务），而ECS任务执行角色是专门给容器内应用提供AWS权限的独立角色，两者权限范围完全分离。如果你的NestJS应用需要访问AWS服务（如S3、Secrets Manager、RDS），必须单独配置ECS任务执行角色并赋予对应权限，不能直接复用EC2实例角色。

2. 检查任务执行角色的核心权限 #

若警告涉及权限缺失，任务执行角色至少需要以下基础权限：

• 拉取ECR镜像：ecr:GetDownloadUrlForLayer、ecr:BatchGetImage、ecr:BatchCheckLayerAvailability
• 推送日志到CloudWatch：logs:CreateLogStream、logs:PutLogEvents
• （若使用敏感配置服务）读取密钥/参数：secretsmanager:GetSecretValue、ssm:GetParameter

你可以直接给任务执行角色附加AmazonECSTaskExecutionRolePolicy托管策略作为基础，再按需添加业务所需的额外权限。

3. 验证任务定义配置细节 #

• 确保任务定义中任务执行角色字段已正确选择对应IAM角色，不要留空或误选EC2实例角色
• 检查容器日志配置：若使用awslogs驱动，需指定已存在的CloudWatch日志组，且任务执行角色拥有该日志组的操作权限
• 确认镜像地址格式正确：ECR镜像需遵循[账号ID].dkr.ecr.[区域].amazonaws.com/[镜像名]:[标签]格式，且对应角色有权限拉取该镜像

4. 确认EC2实例角色的ECS管理权限 #

你的EC2实例角色必须具备以下权限才能正常接收并运行ECS任务：

• ecs:RegisterContainerInstance
• ecs:DeregisterContainerInstance
• ecs:SubmitContainerStateChange
• ecs:SubmitTaskStateChange
• ecs:Poll
• ecs:StartTelemetrySession

可通过附加AmazonEC2ContainerServiceforEC2Role托管策略快速覆盖这些基础权限。

5. 针对具体警告信息精准处理 #

如果警告提示明确的权限拒绝（如AccessDenied），直接给对应角色添加提示中缺失的权限；若提示资源不存在（如日志组未创建），先在对应AWS服务中创建所需资源。

内容的提问来源于stack exchange，提问作者Davit Jincharadze