如何赋予AWS ECS中Grafana容器磁盘写入权限以安装插件？

核心问题分析 #

你遇到的权限错误并非AWS IAM权限（任务角色/执行角色）问题，而是EFS目录的POSIX文件权限不匹配或容器运行用户无写入权限导致——Grafana容器内的运行用户没有写入挂载的/var/lib/grafana/plugins目录的权限。

具体解决步骤 #

1. 检查并修正EFS目录的POSIX权限 #

EFS的文件权限遵循POSIX标准，与IAM无关。需确认挂载的EFS根目录repos/CustomGrafanaPlugins对Grafana容器运行用户开放写入权限：

• 启动临时EC2实例，挂载目标EFS目录：

  sudo mount -t efs fs-XXXXXXXXXX:/repos/CustomGrafanaPlugins /mnt/efs-test
  

• 查看目录权限与所有者：

  ls -ld /mnt/efs-test
  

• Grafana官方镜像默认使用UID为472的grafana用户运行，需确保目录对该用户开放写入：
  • 修改目录所有者：

    sudo chown 472:472 /mnt/efs-test
    

  • 或调整目录权限（按需选择，注意安全）：

    sudo chmod 775 /mnt/efs-test
    

2. 确认Grafana容器的运行用户 #

若自定义Grafana镜像修改了运行用户（比如用root），需对应调整EFS目录权限：

• 在ECS任务定义的容器配置中，强制指定运行用户：

  "user": "472"
  

• 或检查Dockerfile中的USER指令，确保运行用户的UID/GID与EFS目录权限匹配。

3. 修正任务执行角色的权限 #

注意：挂载EFS由ECS Fargate代理进程完成，需要**任务执行角色（Task Execution Role）**拥有EFS相关权限，而非你配置的grafanaTaskRole（任务角色用于容器内应用调用AWS服务）：

• 找到你的ECS任务执行角色，添加AmazonElasticFileSystemClientFullAccess策略，或使用自定义策略：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "elasticfilesystem:ClientMount",
                  "elasticfilesystem:ClientWrite"
              ],
              "Resource": "arn:aws:elasticfilesystem:us-east-1:<你的账号ID>:file-system/fs-XXXXXXXXXX"
          }
      ]
  }
  

4. 临时排查：进入容器验证权限 #

用ECS Exec进入运行中的容器，直接测试权限：

aws ecs execute-command --cluster <你的集群名> --task <任务ID> --container Custom-App-Container --command "/bin/bash"

进入容器后执行：

• 查看当前用户：id
• 尝试创建测试文件：touch /var/lib/grafana/plugins/test.txt
• 查看插件目录权限：ls -ld /var/lib/grafana/plugins
  这些操作可快速定位是用户身份问题还是目录权限问题。

内容的提问来源于stack exchange，提问作者Adam Ryason