访问MWAA UI时出现连接超时问题求助

核心排查步骤 #

1. 私有网络访问路径验证 #

• 确认你的访问终端处于同一VPC内，或已通过VPN/Direct Connect等方式接入该VPC。私有网络模式下，Airflow UI仅向VPC内部或已接入VPC的客户端开放，公网无法直接访问。
• 检查MWAA Web服务器的安全组配置：需允许访问终端IP（或所在子网CIDR）的443端口入站流量；同时安全组出站规则要允许HTTPS（443）流量到AWS服务端点（用于身份验证等流程）。
• 验证VPC的网络ACL：确保没有拒绝访问终端到MWAA Web服务器子网的443端口入站流量，以及反向的出站流量。

2. 默认VPC配置的潜在问题 #

• 默认VPC子网可能默认开启公有IP自动分配，但私有网络模式下MWAA Web服务器应仅使用私有IP。检查MWAA环境关联子网的"自动分配公有IP"状态，确保已关闭。
• 确认默认VPC的路由表：私有网络模式下，MWAA Web服务器子网的路由表不应指向公网网关，仅需保留VPC内部路由和AWS服务的网关终端节点（如SSO、MWAA服务端点）。

3. 权限与身份验证排查 #

• 即使拥有MWAA完全访问权限，仍需检查是否存在会话策略或组织SCP限制了Airflow UI访问权限。通过IAM控制台确认账号是否允许airflow:GetWebLoginToken等关键动作。
• 用AWS CLI执行命令：aws mwaa get-web-login-token --name <你的MWAA环境名>，若能成功获取token，说明权限和服务端点通信正常；若失败，根据错误信息定位问题（如网络不通或权限不足）。

4. MWAA环境状态与日志检查 #

• 登录MWAA控制台确认环境状态为可用（Active），若环境处于创建、更新或故障状态，UI访问必然受限。
• 查看CloudWatch中MWAA的webserver日志组，排查是否存在服务启动失败、端口监听异常等错误信息。

内容的提问来源于stack exchange，提问作者Mohamed Ashraf