部署在AWS ECS的Spring Boot应用调用跨账号API超时求助

1. 排查ECS所在VPC的网络连通性 #

• 确认ECS任务所属VPC的外网访问能力：
  • 若使用公有子网，需确保子网已关联IGW（互联网网关），且任务分配了公有IP/弹性IP；
  • 若使用私有子网，必须配置NAT网关，同时子网路由表需指向NAT网关，保证出站流量能正常访问互联网。
• 检查VPC安全组的出站规则：需允许443端口（HTTPS）的出站流量指向目标API的IP或域名。
• 检查VPC网络ACL：出站规则需放行443端口，入站规则需允许API返回的临时端口（1024-65535）流量。

2. 验证目标API的访问控制配置 #

• 目标API（API Gateway）所在账号的资源策略：需添加允许ECS所在账号、VPC、安全组或任务IAM角色访问的规则，比如指定ECS任务角色的ARN，或放行来源VPC的CIDR段。
• 检查API Gateway的阶段配置：确认API已部署到对应阶段，且阶段未设置IP白名单限制，或白名单已包含ECS所在VPC的CIDR。

3. 检查ECS任务的IAM角色权限 #

• 若目标API采用IAM认证，ECS任务的执行角色或应用使用的IAM角色必须具备execute-api:Invoke权限，且资源需指定目标API的ARN。

4. 确认DNS解析正常 #

• 在ECS任务内部执行命令 nslookup xxxxx.execute-api.eu-central-1.amazonaws.com，验证能否正确解析目标API的IP地址。若解析失败，检查VPC的DNS配置（是否启用Amazon DNS，或自定义DNS服务器能否正常解析AWS服务域名）。

5. 直接测试API网络可达性 #

• 在ECS所属VPC内的EC2实例上执行命令 curl -v https://xxxxx.execute-api.eu-central-1.amazonaws.com/xxx，确认网络层面可正常访问目标API，排除应用代码自身问题。

内容的提问来源于stack exchange，提问作者Peter Lustig