ECS蓝绿部署中HTTPS流量路由配置问题及最佳实践咨询

先排查443端口切换失败的核心原因 #

• 核对443监听器的Terraform配置，确认是否和80端口保持一致：比如默认转发动作是否指向蓝绿Target Group的变量而非固定值；SSL证书ARN是否正确关联，有没有配置错误的转发规则。
• 检查443端口Target Group的健康检查状态：如果绿组健康检查失败，Terraform会终止切换或回滚。确认健康检查的路径、端口、协议是否匹配服务实际配置，比如HTTPS健康检查是否开启了正确的SSL验证策略，目标容器的443端口是否正常监听。
• 确认CI/CD流程是否同时触发两个端口的更新：有没有在部署脚本中只更新了80端口的监听器配置，漏掉了443的变更步骤。

同步切换的最佳实践 #

• 统一变量控制激活组
  用同一个变量（比如var.active_target_group）管理80和443监听器的转发目标，确保切换变量值时，两个端口的监听器同时更新。示例代码：

  resource "aws_lb_listener" "prod_http" {
    load_balancer_arn = aws_lb.prod.arn
    port              = 80
    protocol          = "HTTP"
  
    default_action {
      type             = "forward"
      target_group_arn = var.active_target_group == "blue" ? aws_lb_target_group.blue.arn : aws_lb_target_group.green.arn
    }
  }
  
  resource "aws_lb_listener" "prod_https" {
    load_balancer_arn = aws_lb.prod.arn
    port              = 443
    protocol          = "HTTPS"
    certificate_arn   = aws_acm_certificate.prod.arn
  
    default_action {
      type             = "forward"
      target_group_arn = var.active_target_group == "blue" ? aws_lb_target_group.blue.arn : aws_lb_target_group.green.arn
    }
  }
  

• 封装蓝绿部署逻辑为Terraform模块
  将蓝绿Target Group、80/443监听器的配置封装成可复用模块，CI/CD流程只需传入当前激活的环境标识（蓝/绿），模块内部自动同步更新两个端口的监听器配置，保证变更的原子性。

• 确保变更原子执行
  在CI/CD部署步骤中，只触发一次terraform apply操作，一次性完成80和443监听器的配置更新，避免分批次执行导致的不同步。同时检查Terraform的变更计划，确认两个监听器的目标组都被正确更新后再执行应用。

• 同步健康检查配置
  为蓝绿两个Target Group配置完全一致的健康检查规则（包括路径、端口、超时时间、阈值等），确保切换时80和443端口的服务状态同时满足健康要求。在CI/CD流程中添加前置校验步骤，确认绿组的80和443端口服务都通过健康检查后，再执行切换操作。

• 前置测试验证
  利用已有的8080测试端口，在正式切换前验证绿组的HTTPS服务可用性，确认443端口的服务能正常处理请求后，再触发蓝绿切换，避免切换后443端口服务异常。

内容的提问来源于stack exchange，提问作者Exception