基于Terraform的容器化Lambda+API Gateway部署异常求助

1. 容器启动逻辑与资源配置检查 #

• 确认容器镜像的CMD/ENTRYPOINT严格遵循Lambda容器运行时规范：必须监听${AWS_LAMBDA_RUNTIME_API}指定的端口（默认9000），本地测试用自定义端口没问题，但Lambda环境下必须对接这个API端口。
• 调高Lambda内存/CPU配置：容器化应用通常比普通Lambda需要更多资源，默认128MB内存可能导致启动或运行超时，先临时调到512MB或1GB测试。
• 延长Lambda超时时间：如果容器启动慢，默认3秒肯定不够，先设置为30秒，验证是否能解决超时问题。

2. IAM权限细节验证 #

• 确认Lambda执行角色包含ecr:GetDownloadUrlForLayer、ecr:BatchGetImage、ecr:BatchCheckLayerAvailability权限：ECR仓库创建正常不代表拉取镜像权限足够，检查policy是否漏项，或资源范围是否匹配实际仓库。
• 检查VPC配置（若Lambda在VPC内）：私有子网部署的Lambda需要NAT网关（或ECR VPC端点）才能访问ECR，否则无法拉取镜像导致启动超时。
• 确认CloudWatch Logs权限：Lambda执行角色必须有logs:CreateLogGroup、logs:CreateLogStream、logs:PutLogEvents权限，否则可能无法写入完整错误日志，导致你看不到真正的故障原因（比如镜像拉取失败）。

3. 镜像与Terraform配置一致性检查 #

• 核对Terraform中image_uri与ECR镜像URI完全一致：包括仓库名、标签或镜像摘要，避免出现推镜像用latest但Terraform配置旧标签的情况，可直接在Lambda控制台查看镜像地址是否匹配。
• 确认Terraform的Lambda资源配置正确：必须设置package_type = "Image"，image_uri指向正确ECR地址，image_config中的command/entry_point需与镜像内定义一致（若有自定义）。

4. 模拟Lambda环境测试容器行为 #

• 在Lambda控制台手动触发测试事件：查看完整日志输出，有时候初始CloudWatch日志不全，手动触发能看到容器启动的详细错误（比如依赖缺失、端口监听失败）。
• 用Lambda运行时模拟器本地测试：执行docker run时传入AWS_LAMBDA_RUNTIME_API=localhost:9001环境变量，再用curl模拟Lambda调用请求，排查本地测试与Lambda环境的差异。

5. API Gateway集成配置排查 #

• 确认API Gateway集成类型为AWS_PROXY：容器化Lambda的响应必须符合代理集成格式（返回包含statusCode、body、headers的JSON），格式错误可能被误报为超时。
• 开启API Gateway访问日志：查看集成过程中的具体错误详情，确认是否是Lambda返回错误状态码或集成环节出现异常。

内容的提问来源于stack exchange，提问作者brztr