Flask API容器ECS服务目标显示不健康但任务正常问题求助

一、健康检查失败的常见原因及修复 #

1. 任务定义内的容器健康检查问题 #

• 容器缺少curl工具：多数轻量Python镜像（如python:alpine）默认未预装curl，导致任务定义中的CMD-SHELL,curl -f http://localhost:5000/healthcheck || exit 1执行失败。解决办法：
  • 在Dockerfile中添加安装命令：Debian/Ubuntu系镜像用RUN apt-get update && apt-get install -y curl；Alpine镜像用RUN apk add --no-cache curl。
  • 替换成无需curl的检查方式，比如用Python内置模块：CMD-SHELL,python -c "import urllib.request; urllib.request.urlopen('http://localhost:5000/healthcheck')"。
• Flask绑定地址错误：如果Flask启动命令仅绑定127.0.0.1，容器内部localhost可访问，但外部（包括目标组健康检查）无法连接。必须确保启动命令为app.run(host='0.0.0.0', port=5000)，让服务监听容器所有网卡。

2. 目标组健康检查的网络问题 #

• 安全组权限不足：你仅开放了个人IP访问5000端口，但负载均衡发起的健康检查来自VPC内部，需确保ECS任务的安全组允许负载均衡所在安全组（或VPC私有IP段）访问5000端口。
• 网络模式与路由问题：若使用awsvpc网络模式，任务使用VPC私有IP，需确认负载均衡与任务在同一VPC，且路由表配置允许两者通信。
• 健康检查端口配置错误：目标组健康检查端口若选"容器端口"，需确认任务定义中容器端口映射正确；若选"自定义"，需确保填写的5000是容器暴露的端口（host网络模式下需确认主机端口无冲突）。

二、获取任务终端与日志的方法 #

1. 查看任务日志 #

• 若任务定义配置了awslogs日志驱动，直接在ECS控制台进入任务详情页，点击「日志」标签即可查看CloudWatch中的容器日志。
• 未配置日志驱动的话，修改任务定义，在容器的「日志配置」中选择awslogs，指定日志组和流前缀，并确保任务执行角色拥有CloudWatchLogsFullAccess（或更细粒度的权限）。

2. 进入容器终端 #

• ECS控制台直接执行命令：找到目标任务，点击「执行命令」（需满足：awsvpc网络模式、任务执行角色拥有ecs:ExecuteCommand权限、容器内置bash/sh），即可进入交互式终端。
• AWS CLI命令：

  aws ecs execute-command --cluster <集群名称> --task <任务ARN> --container <容器名称> --command "/bin/bash" --interactive
  

• EC2实例间接访问：若为EC2启动类型的任务，先通过SSM Session Manager或SSH连接到任务所在EC2实例，再执行docker exec -it <容器ID> bash进入容器。

内容的提问来源于stack exchange，提问作者tmountjr