如何让AWS Batch作业访问同VPC内的ECS Fargate数据库服务？

由于AWS Batch目前不支持Service Connect，同VPC内的Batch作业无法直接通过Service Connect发现ECS数据库服务，可通过以下几种方案实现访问：

方案1：给ECS数据库服务配置静态私有IP或传统服务发现 #

• 静态私有IP配置：在ECS服务的网络设置中启用静态私有IP，让数据库服务的IP地址固定。Batch作业直接使用该固定私有IP+数据库端口访问即可。注意提前确认子网有足够的可用私有IP配额。
• ECS传统服务发现（Cloud Map）：创建Cloud Map私有命名空间，在ECS数据库服务的配置中关联该命名空间。服务启动后会自动在Cloud Map中注册私有DNS记录，同VPC内的Batch作业可直接通过该DNS名访问数据库。

方案2：通过Application Load Balancer（ALB）转发数据库流量 #

如果数据库使用的协议兼容ALB（如HTTP/HTTPS，或可通过TCP监听的协议如MySQL、PostgreSQL），可以给ECS数据库服务新增ALB监听规则：

• 给ALB添加对应数据库协议的监听（比如TCP端口3306对应MySQL）
• 配置目标组指向ECS数据库服务，设置转发规则
• 确保Batch作业所在安全组被允许访问ALB安全组的对应监听端口，之后Batch作业即可通过ALB的私有DNS名+监听端口访问数据库。

方案3：使用AWS PrivateLink实现安全访问 #

• 为ECS数据库服务创建VPC端点服务，设置允许Batch作业所在VPC访问该端点服务
• 在Batch作业所在VPC中创建对应的VPC端点，Batch作业通过VPC端点的DNS名即可访问数据库服务。这种方式适合需要严格网络隔离的场景，无需暴露数据库的直接IP。

方案4：手动配置VPC内自定义DNS记录 #

• 在Route 53中创建与VPC关联的私有托管区
• 添加A记录指向ECS数据库服务的静态私有IP，或添加别名记录指向Cloud Map注册的服务DNS
• Batch作业所在VPC关联该私有托管区后，即可通过自定义域名访问数据库。

通用注意事项 #

无论采用哪种方案，都需要确保ECS数据库服务的安全组规则允许Batch作业所在的安全组（或Batch作业的IP范围）访问数据库的对应端口。

内容的提问来源于stack exchange，提问作者Michael