如何解决AWS ECS Fargate任务启动时无日志的‘Essential container exited 0’问题

问题描述 #

在AWS ECS Fargate集群中启动任务时，触发Essential container in task exited 0错误，任务状态依次进入provisioning、pending阶段后转为deprovisioning，且无任何日志输出。

复现步骤：

• 制作.NET Core应用的Docker镜像并推送到ECR
• 创建ECS任务定义
• 创建ECS集群
• 在集群中部署该任务定义

预期结果：ECS任务正常运行，可通过公网IP访问应用

已尝试操作：

• 重建集群、任务及任务定义
• 为任务定义分配更多CPU资源
• 将任务定义部署为集群服务

排查与解决方案 #

1. 验证Docker镜像的启动逻辑 #

容器退出码0表示进程正常结束，大概率是镜像的启动命令未指向持续运行的.NET应用：

• 本地运行镜像测试：执行docker run --rm <你的ECR镜像URI>，观察容器是否启动后立即退出。如果本地也出现此情况，需修正Dockerfile的启动配置：
  • 确保Dockerfile末尾配置了正确的启动命令，例如.NET 6+应用：

    WORKDIR /app
    ENTRYPOINT ["dotnet", "YourAppAssembly.dll"]
    

• 检查任务定义中是否错误覆盖了EntryPoint或Command字段，若无特殊需求，保持默认即可。

2. 修复日志采集配置 #

无日志输出通常是CloudWatch日志配置缺失或权限不足：

• 任务定义中容器的日志驱动需选择awslogs，并正确配置：
  • awslogs-group：指定已创建的CloudWatch日志组名称
  • awslogs-region：与集群同区域
  • awslogs-stream-prefix：自定义前缀（如ecs）
• 确保任务执行角色（Task Execution Role）拥有以下权限：
  • logs:CreateLogStream
  • logs:PutLogEvents

3. 检查网络配置 #

Fargate任务的网络问题可能导致容器初始化异常：

• 网络模式必须为awsvpc（Fargate强制要求）
• 安全组配置：允许容器应用端口（如80/443）的入站流量，同时允许出站流量访问互联网（用于拉取镜像、加载.NET依赖）
• 子网配置：
  • 若使用私有子网，需配置NAT网关以确保任务能访问ECR拉取镜像
  • 若使用公有子网，需开启“自动分配公有IP”选项，否则任务无法获取公网IP，也可能导致镜像拉取失败

4. 确认镜像拉取权限与地址 #

• 检查任务执行角色是否拥有ECR拉取权限：ecr:GetDownloadUrlForLayer、ecr:BatchGetImage、ecr:BatchCheckLayerAvailability
• 验证任务定义中的镜像URI是否与ECR中镜像的实际地址完全一致（包括标签）

5. 查看任务停止详情 #

在ECS控制台的任务详情页，查看“停止原因”的完整描述，部分场景下会给出更具体的提示，帮助定位问题根源。

内容的提问来源于stack exchange，提问作者Tanmay Seth