自定义VPC创建AWS ECS集群后EC2实例未注册问题排查

针对你遇到的自定义VPC下ECS集群无法注册EC2实例的问题，结合你的CDK代码，主要原因可能集中在以下几点：

1. ASG子网选择不匹配 #

你的VPC通过maxAzs:3配置了3个可用区，同时只定义了一种公网子网模板，CDK会自动在3个可用区各创建一个公网子网。如果你的ECS容量提供商关联的Auto Scaling Group（ASG）没有选择这些子网，或者选择的可用区与VPC实际的可用区不匹配，ASG可能无法正常启动实例，导致没有实例注册到ECS。

解决办法：

• 确认ASG的子网配置，确保关联到自定义VPC下的所有公网子网（至少一个存在的子网）；
• 检查ASG的可用区设置，保证和VPC的可用区一致。

2. EC2实例缺少ECS注册的用户数据 #

EC2实例必须通过用户数据指定要注册的ECS集群名称，否则实例不知道要连接到哪个集群。如果自定义VPC对应的ASG启动模板/配置中没有添加这段关键配置，实例就无法完成注册流程。

正确的用户数据示例：

#!/bin/bash
echo ECS_CLUSTER=你的集群名称 >> /etc/ecs/ecs.config

解决办法：

• 打开ASG的启动模板，添加上述用户数据，替换你的集群名称为实际的ECS集群名称。

3. IAM实例角色权限不足 #

EC2容器实例需要具备访问ECS服务的权限才能完成注册。如果ASG使用的IAM实例角色没有附加AmazonEC2ContainerServiceforEC2Role托管策略，实例将无法向ECS集群上报自身状态。

解决办法：

• 找到ASG对应的IAM实例角色，附加AmazonEC2ContainerServiceforEC2Role托管策略，该策略包含了ECS实例注册所需的全部权限。

4. 安全组出站规则限制 #

EC2实例需要通过HTTPS（端口443）连接AWS ECS控制平面才能完成注册。如果自定义VPC中EC2实例的安全组禁止了出站HTTPS流量，实例将无法和ECS服务通信。

解决办法：

• 编辑EC2实例的安全组，添加出站规则：允许所有HTTPS（443）流量到0.0.0.0/0（或限定AWS服务IP范围）。

5. VPC配置冗余导致的潜在问题 #

你的VPC代码中设置了natGateways:1，但只定义了公网子网（没有私网子网）。NAT网关仅用于私网子网访问公网，这种配置虽然不会直接导致注册失败，但可能引发不必要的网络异常，建议调整：

• 如果不需要私网子网，直接移除natGateways:1配置；
• 如果需要私网子网，在subnetConfiguration中添加ec2.SubnetType.PRIVATE_WITH_EGRESS类型的子网配置。

内容的提问来源于stack exchange，提问作者Morteza Namvar