修改AWS Batch计算环境allocation_strategy后遇启动模板未授权问题求助

一、权限错误（"You are not authorized to use launch template Batch-lt-uuid"） #

• 检查ECS实例角色：实例需要具备读取启动模板的权限，确保角色包含ec2:RunInstances、ec2:DescribeLaunchTemplates等操作权限，同时给目标启动模板添加资源级权限，允许该实例角色访问。
• 验证SCP限制：排查账户或组织单元的服务控制策略，确认是否存在禁止ec2:RunInstances使用指定启动模板、或限制Batch相关EC2操作的规则。
• 查看启动模板资源策略：针对Batch自动创建的启动模板，检查其权限设置，确认是否允许Batch服务角色和ECS实例角色访问。
• 确认Batch服务角色信任关系：确保角色的信任策略包含batch.amazonaws.com，且附加的策略（如AWSBatchServiceRole）未被过度限制，比如是否通过资源条件限制了启动模板的使用范围。

二、自定义启动模板被Batch自动替换 #

• Batch仅在未指定有效自定义启动模板时，才会自动生成启动模板。要确保自定义模板生效：
  • 在compute_resources中明确指定launch_template的launch_template_id/launch_template_name，同时指定具体的version（避免使用$Default或$Latest，防止Batch自动更新替换）。
  • 自定义启动模板的AMI必须是ECS优化镜像，且实例类型与计算环境配置一致。
  • 启动模板关联的IAM实例配置文件，必须绑定正确的ECS实例角色，否则Batch会自动替换模板。
• 修改计算环境时，确保启动模板配置完整有效，Batch会验证模板可用性，验证失败会回退到自动创建的版本。

三、User-Data中ECS集群名的问题 #

• 当前user-data重复写入未赋值的ECS_CLUSTER=${ecs_cluster_name}，会导致ECS Agent无法关联到正确的Batch集群，解决方式：
  • 无需手动指定ECS集群名，Batch会在启动实例时自动注入正确的集群名到user-data中，保留自定义ECS配置参数即可，删除重复的ECS_CLUSTER写入逻辑。
  • 若必须自定义user-data，可通过实例元数据获取Batch注入的集群名：

    # 从实例元数据提取Batch注入的ECS集群名
    ECS_CLUSTER=$(curl -s http://169.254.169.254/latest/user-data | grep ECS_CLUSTER | cut -d'=' -f2)
    echo ECS_CLUSTER=$ECS_CLUSTER >> /etc/ecs/ecs.config
    

  • 优化后的user-data示例：

    Content-Type: multipart/mixed; boundary="==BOUNDARY=="
    MIME-Version: 1.0
    
    --==BOUNDARY==
    MIME-Version: 1.0
    Content-Type: text/x-shellscript; charset="us-ascii"
    
    #!/bin/bash
    echo ECS_DISABLE_IMAGE_CLEANUP=false>>/etc/ecs/ecs.config
    echo ECS_ENGINE_TASK_CLEANUP_WAIT_DURATION=2m>>/etc/ecs/ecs.config
    echo ECS_IMAGE_CLEANUP_INTERVAL=10m>>/etc/ecs/ecs.config
    echo ECS_IMAGE_MINIMUM_CLEANUP_AGE=10m>>/etc/ecs/ecs.config
    echo ECS_NUM_IMAGES_DELETE_PER_CYCLE=5>>/etc/ecs/ecs.config
    echo ECS_RESERVED_MEMORY=32>>/etc/ecs/ecs.config
    echo ECS_INSTANCE_ATTRIBUTES={\"com.amazonaws.batch.compute-environment-revision\":\"0\"}>>/etc/ecs/ecs.config
    
    --==BOUNDARY==--
    

额外排查步骤 #

• 查看Batch计算环境事件日志：在Batch控制台找到目标计算环境，查看事件记录，获取更详细的错误细节（如权限失败的具体角色或操作）。
• 手动测试启动模板：用ECS实例角色手动启动实例，验证是否能正常访问启动模板，且ECS Agent可正确注册到集群，排除模板本身的问题。

内容的提问来源于stack exchange，提问作者Suraj