能否通过Terraform为EC2实例添加服务启动状态检查？

想通过Terraform为EC2实例添加状态检查，验证Docker服务及基于特定镜像的容器是否已启动，避免EC2实例启动后因容器未就绪就登录调试的问题。现有Terraform脚本已配置好EC2实例的user_data、安全组等资源，尝试使用local-exec执行systemctl is-active docker和docker ps命令但未生效，且了解到local-exec并不推荐，想确认这是否为正确方案及如何使用。

现有代码 #

module "runners_linux" {
  source                = "terraform-aws-modules/autoscaling/aws"
  version               = "~> 6.0"
  name                  = var.name_linux
  image_id              = data.aws_ami.ami_linux.id
  instance_type         = var.instance_type_linux
  security_groups       = [data.aws_security_group.default.id]
  key_name              = aws_key_pair.ssh_access_key.key_name

  # recreate_asg_when_lc_changes = true
  # above option does not exist, you will need to terminate running instances to take effect
  block_device_mappings = [
    {
      # Root volume
      device_name = "/dev/xvda"
      no_device   = 0
      ebs         = {
        delete_on_termination = true
        encrypted             = true
        volume_size           = 10
        volume_type           = "gp3"
      }
    }
  ]

  vpc_zone_identifier = [
    data.aws_subnet.infrashared.id
  ]

  health_check_type         = "EC2"
  desired_capacity          = 1
  min_size                  = 1
  max_size                  = 3
  wait_for_capacity_timeout = 0
  service_linked_role_arn   = aws_iam_service_linked_role.autoscaling.arn
  iam_instance_profile_arn  = aws_iam_instance_profile.ghr.arn
  user_data                 = base64encode(data.template_file.user_data_linux.rendered)
  tags                      = local.tags_linux

  scaling_policies = {
    avg-cpu-policy-greater-than-50 = {
      disable_scale_in              = true
      policy_type                   = "TargetTrackingScaling"
      estimated_instance_warmup     = 900
      target_tracking_configuration = {
        predefined_metric_specification = {
          predefined_metric_type = "ASGAverageCPUUtilization"
        }
        target_value = 50.0
      }
    }
  }

  # This does not work
  provisioner "local-exec" {
    command = "systemctl is-active docker"
  }

  # This does not work
  provisioner "local-exec" {
    command = "docker ps -f ancestor=ID-GOES-HERE.dkr.ecr.us-east-1.amazonaws.com/my-stuff:1.0.0"
  }
  
}

为什么local-exec不生效且不适用 #

local-exec是在运行Terraform的本地机器上执行命令，而非目标EC2实例。你写的systemctl is-active docker和docker ps都是在自己的电脑上运行，自然无法检查远程EC2实例的状态，这也是官方不推荐用它做远程实例状态验证的原因。

正确的实现方案 #

方案1：在user_data中嵌入就绪检查逻辑 #

这是最适合Auto Scaling场景的方案，让EC2实例在启动时自行完成服务初始化与状态验证，直到Docker和目标容器就绪，再标记实例为可用。

修改你的data.template_file.user_data_linux对应的脚本内容，加入以下逻辑：

#!/bin/bash
set -e

# 等待Docker服务启动完成
until systemctl is-active --quiet docker; do
  echo "[INIT] 等待Docker服务启动..."
  sleep 5
done
echo "[INIT] Docker服务已启动"

# 等待目标容器运行（替换为你的镜像地址）
TARGET_IMAGE="ID-GOES-HERE.dkr.ecr.us-east-1.amazonaws.com/my-stuff:1.0.0"
until docker ps -q -f ancestor="$TARGET_IMAGE" | grep -q .; do
  echo "[INIT] 等待容器 $TARGET_IMAGE 启动..."
  sleep 5
done
echo "[INIT] 目标容器已就绪"

# 可选：写入就绪标记文件，供自定义健康检查使用
echo "ready" > /var/run/instance-ready

同时调整ASG配置：

• 将wait_for_capacity_timeout从0改为合理值（如300，即5分钟），让Terraform等待实例达到就绪状态
• 设置health_check_grace_period（如果模块支持），给实例足够的初始化时间，避免ASG过早将未就绪的实例标记为不健康

方案2：使用remote-exec（仅适合单实例或非ASG场景） #

remote-exec会在远程EC2实例上执行命令，但需要满足两个前提：

1. Terraform能通过SSH连接到实例（安全组开放22端口，密钥对配置正确）
2. 仅适合单次初始化检查，无法持续监控实例状态（ASG自动扩容的新实例不会被Terraform重新检查）

如果你的场景不是Auto Scaling（而是单独的EC2实例），可以这样配置：

resource "aws_instance" "example" {
  # 其他实例配置...

  provisioner "remote-exec" {
    inline = [
      "until systemctl is-active --quiet docker; do sleep 5; done",
      "until docker ps -q -f ancestor=ID-GOES-HERE.dkr.ecr.us-east-1.amazonaws.com/my-stuff:1.0.0; do sleep 5; done"
    ]

    connection {
      type        = "ssh"
      user        = "ec2-user" # 根据你的AMI调整用户名
      private_key = file(var.ssh_private_key_path)
      host        = self.public_ip
    }
  }
}

注意：你当前用的是Auto Scaling模块，remote-exec无法直接作用于ASG创建的实例，因此方案1是更优选择。

方案3：配置ASG自定义健康检查 #

如果需要长期监控实例上的服务状态，可以将ASG的health_check_type改为ELB，配合一个简单的HTTP健康检查端点：

1. 在EC2实例上运行一个轻量HTTP服务（如Nginx或自定义Python脚本），当Docker和容器就绪时返回200状态码
2. 创建一个Application Load Balancer，配置健康检查规则指向该端点
3. 将ASG的health_check_type设为ELB，让AWS自动监控实例健康状态，不健康的实例会被ASG自动替换

内容的提问来源于stack exchange，提问作者carlspring