Elastic Beanstalk测试环境陷入Warning状态问题排查求助

核心问题定位 #

提示无法承担aws-elasticbeanstalk-ec2-role-dev角色，但角色存在，说明角色的信任关系、权限策略或实例关联的角色配置存在问题，而非角色本身不存在。

具体排查步骤 #

• 验证EC2实例的IAM角色关联状态
  登录问题EC2实例，执行curl http://169.254.169.254/latest/meta-data/iam/security-credentials/，如果返回的角色名称不是aws-elasticbeanstalk-ec2-role-dev，说明实例没正确关联角色；如果返回空，说明实例的IAM角色配置失败，需要检查Beanstalk环境的实例配置中是否指定了正确的角色。

• 检查IAM角色的信任关系
  进入IAM控制台，找到aws-elasticbeanstalk-ec2-role-dev，查看信任策略，确保允许ec2.amazonaws.com和elasticbeanstalk.amazonaws.com扮演该角色，正确的信任策略示例：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": [
            "ec2.amazonaws.com",
            "elasticbeanstalk.amazonaws.com"
          ]
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

• 检查角色的权限策略完整性
  对比生产环境的对应EC2角色，确保测试角色拥有相同的权限，尤其是Elastic Beanstalk所需的核心权限：比如S3访问（获取应用包、日志存储）、CloudWatch日志推送、CloudFormation资源访问等。如果有自定义权限，确认没有遗漏或错误的条件限制。

• 查看EC2实例系统日志与Beanstalk日志

  1. 在EC2控制台找到问题实例，获取系统日志，搜索IAM或role相关报错，看是否有角色临时凭证获取失败的信息。
  2. 在Beanstalk控制台的环境日志中，下载完整日志，重点查看cfn-init.log、eb-engine.log，里面会记录实例初始化时的角色加载、资源拉取过程，定位具体失败环节。

• 检查CloudFormation堆栈的资源差异
  虽然堆栈显示CREATE_COMPLETE，但对比生产环境的CloudFormation堆栈资源，检查测试环境的Auto Scaling Group、Launch Template/Configuration是否正确关联了aws-elasticbeanstalk-ec2-role-dev角色，尤其是Launch Template中的IAM实例配置项。

• 验证VPC与网络配置
  如果测试环境在自定义VPC中，确认实例所在子网有访问IAM服务的权限：要么子网关联了带IAM端点的VPC端点，要么子网的路由表允许访问公网（IAM服务需要公网或VPC端点访问）。如果实例无法连接IAM，会导致角色凭证无法获取，进而无法完成Beanstalk初始化。

快速验证方案 #

尝试将测试环境的EC2角色临时替换为生产环境的对应角色（确保权限一致且安全），重新部署环境，如果问题解决，说明测试角色本身的配置存在问题；如果问题依旧，排查网络或Beanstalk环境的底层配置差异。

内容的提问来源于stack exchange，提问作者user3174311