使用philips-labs Terraform AWS自托管模块无法创建EC2实例求助

1. 核对EC2相关权限 #

• 确认GitHub Apps绑定的IAM身份（角色/用户）有ec2:RunInstances、ec2:CreateTags等核心权限，且权限范围覆盖你指定的VPC、子网、安全组等资源
• 检查IAM策略是否有严格的资源限制，比如限定了特定AMI ID、实例类型，若你配置的AMI不在允许列表里，请求会直接失败
• 开启CloudTrail的话，搜索RunInstances动作，查看具体错误代码——比如UnauthorizedOperation是权限问题，InvalidParameterValue是参数错误，这是最快定位问题的方式

2. 校验Terraform配置的关键参数 #

先贴出你的main.tf配置：

# 请粘贴你的main.tf内容到此处

重点检查以下项：

• 实例基础参数：AMI ID要和当前AWS区域匹配，实例类型要确认在目标可用区有资源
• 网络配置：VPC、子网ID必须有效，安全组要允许443端口出站（Runner需要连接GitHub），如果Runner需要公网访问，子网要开启自动分配公网IP
• 临时Runner相关：如果开启了临时Runner，检查触发用的Lambda/ECS任务是否有权限调用EC2 API，且参数传递完全正确
• 队列配置：用SQS队列的话，确认队列权限允许触发服务发消息；FIFO队列要保证消息分组ID、去重ID配置合规，避免消息被丢弃

3. 深挖CloudWatch日志细节 #

• 把CloudWatch里的请求参数完整提取出来，和Terraform配置逐一对比，看有没有遗漏必填项（比如子网ID、安全组ID）
• 仔细查看日志里的错误提示，很多时候会藏着参数格式错误（比如AMI ID拼错、实例类型写错）、资源不存在（比如指定的安全组已删除）这类细节

4. 手动测试实例创建 #

• 用和GitHub Apps相同的IAM权限，在AWS控制台或通过AWS CLI执行aws ec2 run-instances命令，参数完全照搬Terraform里的配置
• 如果手动创建失败，AWS返回的错误信息直接指向问题；如果手动成功，说明问题出在GitHub Apps到Terraform的触发链路，要检查Webhook配置、中间触发服务（比如Lambda）的执行逻辑

内容的提问来源于stack exchange，提问作者Aayush Bajaj