AWS_VPC模式ECS容器无法访问169.254.169.254的解决办法

核心原因 #

AWS_VPC模式下容器拥有独立网络栈，169.254.169.254作为EC2实例元数据服务地址，默认不会路由到容器的网络命名空间；而HOST模式下容器共享主机网络，因此能直接访问该地址。

解决方案 #

1. 优先使用ECS任务元数据服务 #

AWS ECS针对容器场景提供了专用的任务元数据服务，容器内可通过http://169.254.170.2访问，既能获取ECS任务相关元数据，也能通过返回结果中的EC2InstanceId字段关联到EC2实例信息。

• 示例请求：curl http://169.254.170.2/v2/metadata
• 该服务无需额外配置，只要任务运行在ECS集群（EC2或Fargate模式均可）即可直接使用。

2. 配置EC2主机路由规则（仅EC2类型集群） #

若必须直接访问EC2元数据服务，可在EC2主机上添加路由规则，将容器网络的169.254.169.254请求转发到主机元数据服务：

• 确认容器使用的网桥（默认是docker0或ECS自定义网桥）及容器子网段（如172.17.0.0/16）
• 在EC2主机执行以下命令：

  ip route add 169.254.169.254/32 via $(ip -4 addr show docker0 | grep -oP '(?<=inet\s)\d+(\.\d+){3}') dev docker0
  

• 注意：该配置在实例重启后会失效，建议通过EC2用户数据、Cloud-init或自动化脚本批量持久化配置。

3. 配置任务IAM角色获取凭证（若需权限相关元数据） #

如果访问元数据是为了获取IAM临时凭证，不要直接访问EC2元数据服务，应为ECS任务配置任务IAM角色，容器内可通过http://169.254.170.2/v2/credentials/<角色名称>获取凭证，这种方式更安全，符合AWS最小权限原则。

注意事项 #

• 直接访问EC2元数据服务可能导致容器获取主机敏感信息，不推荐使用。
• 优先选择ECS任务元数据服务，它是AWS为容器场景设计的专用方案，兼容性和安全性更优。

内容的提问来源于stack exchange，提问作者whitebear