如何在AWS ECS Fargate中查看Docker日志？容器退出码0调试

1. 验证日志配置有效性 #

• 确认任务定义中logConfiguration的logDriver为awslogs，且参数配置无误：
  • awslogs-group：指定的CloudWatch日志组存在，且ECS任务执行角色拥有logs:CreateLogStream和logs:PutLogEvents权限
  • awslogs-region：与ECS集群所在区域完全一致
  • awslogs-stream-prefix：格式无拼写错误（可选参数，但需确保配置正确）
• 检查任务执行角色的权限策略，确保包含必要的CloudWatch Logs权限，示例策略片段：

  {
      "Effect": "Allow",
      "Action": [
          "logs:CreateLogStream",
          "logs:PutLogEvents"
      ],
      "Resource": "arn:aws:logs:<region>:<account-id>:log-group:<log-group-name>:*"
  }
  

2. 确认容器是否生成日志 #

• Exit code 0表示容器正常退出，但可能应用本身未输出日志到stdout/stderr。可在本地运行镜像测试：docker run <image>，查看是否有日志输出。若本地也无输出，需调整应用将日志导向标准流。
• 若本地有日志，检查容器启动命令是否覆盖了镜像默认命令，导致日志输出路径变更（比如应用将日志写入本地文件而非标准流）。

3. 排查ECS任务详情与事件 #

• 进入ECS控制台，找到对应任务，查看「停止原因」和「任务详情」中的事件日志，确认是否存在日志相关错误（如权限不足导致无法写入CloudWatch）。
• 使用AWS CLI获取任务详情：

  aws ecs describe-tasks --cluster <cluster-name> --tasks <task-id>
  

  在返回结果中查看containers[].reason和events字段，定位日志相关异常。

4. 检查CloudWatch日志组状态 #

• 确认CloudWatch日志组未被设置为「不可写入」，且日志保留策略不会立即删除日志流。
• 查看日志组下是否生成了对应日志流（即使是空流），若无日志流，说明容器未成功连接CloudWatch Logs，大概率是权限或配置问题。

1. 通过CloudWatch Logs查看（推荐） #

• 确保任务定义配置了awslogs日志驱动，容器的stdout/stderr会自动同步到指定CloudWatch日志组。直接进入CloudWatch控制台，找到对应日志组和日志流即可查看。
• 使用AWS CLI查询日志：

  aws logs get-log-events --log-group-name <log-group-name> --log-stream-name <log-stream-name>
  

2. 通过ECS任务详情查看实时日志（Fargate 1.4.0+） #

• 在ECS控制台的任务详情页，点击「查看日志」按钮，可直接查看容器实时日志（无需跳转至CloudWatch）。
• 使用AWS CLI执行命令查看日志：

  aws ecs execute-command --cluster <cluster-name> --task <task-id> --container <container-name> --command "tail -f /var/log/<log-file>" --interactive
  

  注意：此方法需任务定义开启executeCommand配置，任务执行角色拥有ecs:ExecuteCommand权限，且容器内已安装ssm-agent（Fargate官方镜像默认预装）。

3. 进入容器查看本地日志（适用于运行中/刚停止的任务） #

• 若容器将日志写入本地文件系统，可通过execute-command进入容器查看：

  # 进入容器终端
  aws ecs execute-command --cluster <cluster-name> --task <task-id> --container <container-name> --command "/bin/sh" --interactive
  # 在容器内查看日志文件
  cat /path/to/log/file
  

内容的提问来源于stack exchange，提问作者Alejandro Veintimilla