如何将AWS Lambda环境变量传入EC2启动时的UserData脚本？

核心逻辑 #

Lambda先获取目标SNS TopicArn（从环境变量或CloudFormation输出），动态生成包含该变量的UserData脚本内容，再通过CloudFormation API或EC2 API将生成的UserData传入实例创建流程。

具体操作（Python代码示例） #

1. 读取Lambda环境变量中的TopicArn #

在Lambda配置中配置SNS_TOPIC_ARN环境变量（值为CloudFormation创建的SNS Topic ARN），代码中直接读取：

import os

# 读取环境变量中的SNS Topic ARN
sns_topic_arn = os.environ.get("SNS_TOPIC_ARN")
if not sns_topic_arn:
    raise ValueError("未配置SNS_TOPIC_ARN环境变量")

2. 动态生成并编码UserData #

采用字符串格式化替换占位符，再将脚本编码为EC2要求的base64格式：

import base64

# UserData模板，用{topic_arn}作为占位符
user_data_template = """#!/bin/bash
aws sns publish --topic-arn {topic_arn} --message "echo $message" --region us-east-1 2>&1 | tee sns.log
"""

# 替换占位符生成最终脚本
user_data_raw = user_data_template.format(topic_arn=sns_topic_arn)
# 编码为base64（EC2要求UserData必须是base64编码）
encoded_user_data = base64.b64encode(user_data_raw.encode()).decode()

3. 传递UserData到实例创建流程 #

方式一：通过CloudFormation更新栈

若Lambda调用CloudFormation创建EC2，将编码后的UserData作为参数传入栈更新请求：

import boto3

cf_client = boto3.client("cloudformation")
cf_client.update_stack(
    StackName="YourTargetStackName",
    TemplateURL="https://your-bucket.s3.us-east-1.amazonaws.com/ec2-template.yaml",
    Parameters=[
        {
            "ParameterKey": "EC2UserData",
            "ParameterValue": encoded_user_data
        }
    ],
    Capabilities=["CAPABILITY_IAM"]
)

对应CloudFormation模板中EC2资源的配置：

Resources:
  TargetEC2Instance:
    Type: AWS::EC2::Instance
    Properties:
      UserData: !Ref EC2UserData
      # 其他必填属性：ImageId、InstanceType、SecurityGroupIds等

方式二：直接调用EC2 API创建实例

若Lambda直接创建EC2实例，在run_instances请求中传入UserData：

ec2_client = boto3.client("ec2")
ec2_client.run_instances(
    ImageId="ami-xxxxxxxxx",
    InstanceType="t2.micro",
    UserData=encoded_user_data,
    KeyName="YourKeyPairName",
    SecurityGroupIds=["sg-xxxxxxxxx"]
)

关键注意事项 #

• 给EC2实例绑定的IAM角色必须包含SNS:Publish权限，可通过自定义IAM策略限定仅允许发布到指定TopicArn，避免过度授权。
• UserData脚本开头必须添加#!/bin/bash（Linux实例），否则cloud-init不会执行该脚本。
• 排查问题时可登录EC2实例查看/var/log/cloud-init-output.log，该日志会记录UserData脚本的执行过程和错误信息。

内容的提问来源于stack exchange，提问作者tublai