已配置IAM角色仍无法将Node.js示例应用部署至AWS Elastic Beanstalk

我正尝试将一个Node.js示例Web服务器应用部署至AWS Elastic Beanstalk，按常理示例应用应能正常运行，但部署始终失败。

最初让Elastic Beanstalk在环境创建时自动生成新角色，部署失败；之后手动为该角色附加了额外策略，当前IAM角色已绑定以下策略：

• AWSElasticBeanstalkWebTier
• AWSElasticBeanstalkMulticontainerDocker
• AWSElasticBeanstalkEnhancedHealth
• AWSElasticBeanstalkManagedUpdatesCustomerRolePolicy

即便做了这些调整，仍无法成功部署。请问还需执行哪些步骤才能让应用正常运行？是否存在忽略的角色配置或权限问题？是否超出了某些限制？或是AWS端的服务问题？

部署失败状态截图

权限 #

权限配置截图

当前权限截图

信任关系 #

初始自动生成的信任关系 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "elasticbeanstalk.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

当前修改后的信任关系 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "elasticbeanstalk.amazonaws.com",
                    "ec2.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

排查与解决方案建议 #

1. 明确IAM角色类型，避免混淆
   Elastic Beanstalk有两种核心角色，不能混为一谈：

   • EB服务角色：供EB服务本身调用其他AWS资源使用，信任主体应为elasticbeanstalk.amazonaws.com，必须附加AWSElasticBeanstalkService托管策略（你当前的角色未包含此策略，这是关键缺失项）。
   • EC2实例角色：供EB环境中的EC2实例使用，信任主体应为ec2.amazonaws.com，权限只需保留AWSElasticBeanstalkWebTier和AWSElasticBeanstalkEnhancedHealth即可，AWSElasticBeanstalkMulticontainerDocker是多容器Docker环境专用策略，你的Node.js单实例Web环境完全不需要，建议移除。

2. 检查应用端口配置
   EB默认要求Node.js应用监听8080端口，或者通过代码读取PORT环境变量来指定端口。确认你的示例应用代码是否符合这个要求，比如：

   const port = process.env.PORT || 8080;
   app.listen(port, () => {
     console.log(`Server running on port ${port}`);
   });
   

3. 查看部署日志定位具体错误
   登录EB控制台，进入对应环境的「日志」选项卡，下载完整日志包，重点查看：

   • /var/log/eb-engine.log：记录EB环境创建、部署的流程错误，比如资源创建失败、权限不足等。
   • /var/log/nodejs/nodejs.log：记录Node.js应用的启动、运行错误，比如依赖缺失、代码语法错误等。

4. 验证AWS服务状态
   访问AWS状态仪表板，确认你部署所在区域的Elastic Beanstalk、EC2、IAM服务是否处于正常运行状态，排除AWS端服务故障的可能。

5. 重置角色配置
   如果手动修改角色导致配置混乱，建议删除现有环境，重新创建时让EB自动生成对应的服务角色和实例角色，不要手动干预，创建完成后再根据需求（比如启用托管更新）附加必要策略，避免角色类型混淆。

内容的提问来源于stack exchange，提问作者kawa