如何在无AWS CLI/SDK的EC2实例中用curl发送cfn signal？

关于CFN Signal API协议的说明 #

AWS并未公开cfn-signal工具使用的私有API协议细节，该工具是CloudFormation专属组件，内部实现可能随版本变动，官方不建议手动模拟其请求逻辑。不过可以从以下几个常见维度排查你的curl脚本问题：

排查方向 #

1. VPC端点配置验证

   • 确认已创建CloudFormation服务的VPC端点，服务名格式为com.amazonaws.<你的区域>.cloudformation，而非其他AWS服务的端点。
   • 检查端点关联的安全组，是否允许EC2实例的出站HTTPS（443端口）流量指向端点IP。
   • 验证VPC路由表中，CloudFormation API的流量是否被正确路由到该端点，而非互联网网关。

2. SigV4签名缺失

   • cfn-signal发送请求时会自动生成AWS SigV4签名，手动curl必须完整实现该签名逻辑，否则CloudFormation API会静默拒绝请求，导致空回复（curl 52错误）。
   • 需在请求头中包含Authorization、X-Amz-Date，并对请求正文/参数进行签名，任何签名错误都会触发服务器无响应。

3. 请求参数与格式错误

   • 请求目标URL必须是对应区域的CloudFormation API端点，格式为https://cloudformation.<区域>.amazonaws.com/
   • 必须发送POST请求，正文需包含以下核心参数（URL编码的表单格式）：
     • Action=SignalResource
     • StackName：你的CloudFormation栈名称
     • LogicalResourceId：Auto Scaling Group在栈中的逻辑ID
     • UniqueId：当前EC2实例的ID（如i-0123456789abcdef0）
     • Status：SUCCESS或FAILURE
     • Version=2010-05-15（CloudFormation API的版本号）

4. IAM权限不足

   • 确认EC2实例关联的IAM角色拥有cloudformation:SignalResource权限，否则即使签名正确，API也会拒绝访问，返回空响应。

替代方案（更可靠） #

由于手动实现SigV4签名复杂度高且无官方文档支持，建议采用以下更简单的方式：

• 通过S3 VPC端点，从AWS官方S3存储桶下载cfn-signal二进制文件（可从同区域已安装该工具的实例中提取，或通过有外网的机器下载后上传到私有S3桶）
• 使用CloudFormation Init功能，配合cfn-signal工具完成信号发送，无需AWS CLI依赖

内容的提问来源于stack exchange，提问作者joepol