无法从AWS Batch访问AWS ECR的问题求助

错误根源 #

你遇到的ResourceInitializationError是因为Batch的Fargate任务无法访问ECR的API和Docker端点，核心问题出在子网配置不匹配、VPC端点关联错误和安全组规则缺失：

1. 子网名称与CIDR冲突

   • 代码中创建的子网资源是aws_subnet.batch-subnet，但VPC端点引用的是不存在的batch-subnet-dev，导致端点没有绑定到实际子网。
   • 子网的CIDR块10.1.0.0/16和VPC完全一致，不符合AWS子网规范（子网必须是VPC CIDR的子集）。

2. VPC端点安全组不匹配

   • ECR的两个VPC端点引用的是不存在的batch-security-group-dev，实际创建的安全组是batch-security-group，导致端点无法使用正确的安全组。
   • 现有安全组仅配置了全量出站规则，但没有允许VPC内部流量访问ECR端点的443端口（HTTPS），Fargate任务无法和ECR端点建立连接。

3. 冗余资源

   • 代码中创建的EC2实例角色、实例配置文件对Fargate类型的Batch计算环境完全无用，可以删除。

修正后的关键代码片段 #

1. 修正子网配置 #

resource "aws_subnet" "batch-subnet-dev" {
  vpc_id     = aws_vpc.batch-vpc.id
  cidr_block = "10.1.0.0/24" # 改为VPC CIDR的子集
}

2. 修正VPC端点的安全组与子网关联 #

resource "aws_vpc_endpoint" "ecr-dkr-endpoint" {
  vpc_id               = aws_vpc.batch-vpc.id
  private_dns_enabled  = true
  service_name         = "com.amazonaws.${local.region}.ecr.dkr"
  vpc_endpoint_type    = "Interface"
  security_group_ids   = [aws_security_group.batch-security-group.id] # 使用存在的安全组
  subnet_ids           = [aws_subnet.batch-subnet-dev.id] # 关联正确的子网
}

resource "aws_vpc_endpoint" "ecr-api-endpoint" {
  vpc_id               = aws_vpc.batch-vpc.id
  service_name         = "com.amazonaws.${local.region}.ecr.api"
  vpc_endpoint_type    = "Interface"
  private_dns_enabled  = true
  security_group_ids   = [aws_security_group.batch-security-group.id] # 使用存在的安全组
  subnet_ids           = [aws_subnet.batch-subnet-dev.id] # 关联正确的子网
}

3. 更新安全组规则，允许内部HTTPS访问 #

resource "aws_security_group" "batch-security-group" {
  name = "aws_batch_compute_environment_security_group"
  vpc_id = aws_vpc.batch-vpc.id

  # 允许VPC内部流量访问443端口（ECR端点需要）
  ingress {
    from_port   = 443
    to_port     = 443
    protocol    = "tcp"
    cidr_blocks = [aws_vpc.batch-vpc.cidr_block]
  }

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

4. 删除无用的EC2相关资源 #

删除以下代码块：

data "aws_iam_policy_document" "ec2-assume-role" { ... }
resource "aws_iam_role" "ecs-instance-role" { ... }
resource "aws_iam_role_policy_attachment" "ecs_instance_role" { ... }
resource "aws_iam_instance_profile" "ecs-instance-role" { ... }

额外说明 #

• 你通过AWS CLI推送镜像不受影响，因为CLI是从本地或外部网络访问ECR，而Batch任务是在VPC内部运行，两者的网络路径完全独立。
• 确保Batch计算环境的子网和安全组与修正后的资源一致，重新部署Terraform配置后，Fargate任务就能通过VPC端点正常访问ECR拉取镜像。

内容的提问来源于stack exchange，提问作者Boris