从Fargate ECS任务访问EFS文件系统失败且无AWS报错

API 探路者

2026-8-10

问题

参考AWS官方文档示例，尝试将EFS文件系统挂载到ECS Fargate任务，任务部署无报错，但容器启动后无法向挂载卷写入数据，仅容器内抛出AccessDeniedException异常，AWS控制台无任何错误返回。

已完成以下排查但未解决：

EFS与ECS任务处于同一安全组
安全组配置了组内节点间通信的入站规则
额外添加了NFS协议的入站规则
尝试过匿名访问和基于Access Point的IAM角色访问两种方式
配置了授予所有用户及对应IAM角色挂载、读写权限的文件系统策略

修改文件系统ID或Access Point ID时，控制台会检测到错误，说明当前配置格式正确。CloudWatch中能看到EFS的客户端连接记录，但无法确认连接是否成功，是否意味着网络正常但权限配置存在问题？

任务配置

"mountPoints": [
    {
        "sourceVolume": "controlserver-files",
        "containerPath": "/application/files",
        "readOnly": false
    }
],

"volumes": [
    {
        "name": "controlserver-files",
        "efsVolumeConfiguration": {
            "fileSystemId": "fs-99999999999",
            "rootDirectory": "/",
            "transitEncryption": "ENABLED"
        }
    }
],

文件系统策略

{
    "Sid": "efs-statement-08270b77-b8c4-4788-b12a-7226fbcc0e21",
    "Effect": "Allow",
    "Principal": {
        "AWS": "*"
    },
    "Action": [
        "elasticfilesystem:ClientRootAccess",
        "elasticfilesystem:ClientWrite",
        "elasticfilesystem:ClientMount"
    ],
    "Resource": "arn:aws:elasticfilesystem:eu-central-1:977555550711:file-system/fs-02bab7777777774"
}

分析与解决建议

从CloudWatch有客户端连接记录来看，网络层面无问题，故障大概率出在POSIX权限配置或Fargate任务身份映射上，以下是具体排查方向：

检查EFS根目录的POSIX权限
EFS文件系统策略仅控制挂载权限，实际写入操作受POSIX权限约束。可通过临时EC2实例挂载EFS，查看根目录权限：
```
sudo mount -t nfs4 -o nfsvers=4.1,rsize=1048576,wsize=1048576,hard,timeo=600,retrans=2,noresvport fs-xxxxxx.efs.eu-central-1.amazonaws.com:/ /mnt/efs
ls -ld /mnt/efs
```
若根目录默认权限为drwxr-xr-x 2 root root，而容器内进程以非root用户运行，就会没有写入权限。可临时开放权限测试：
```
sudo chmod 777 /mnt/efs
```
生产环境建议将目录属主改为容器进程对应的UID/GID（需先确认容器内用户ID）。
确认Fargate任务执行角色权限
即使文件系统策略允许所有用户，Fargate任务的执行角色仍需具备elasticfilesystem:ClientMount、elasticfilesystem:ClientWrite、elasticfilesystem:ClientRootAccess（若需root访问）权限。检查任务执行角色的IAM策略，确保包含这些动作且资源指向目标EFS的ARN。
优化EFS Access Point配置
若之前尝试过Access Point未生效，需确保其配置了与容器进程匹配的Uid、Gid和PosixPermissions。示例配置：
```
"efsVolumeConfiguration": {
    "fileSystemId": "fs-xxxxxx",
    "transitEncryption": "ENABLED",
    "authorizationConfig": {
        "accessPointId": "fsap-xxxxxx",
        "iam": "ENABLED"
    }
}
```
Access Point的根目录权限会覆盖EFS本身的POSIX权限，需确保配置的权限允许对应身份写入。
核对容器内用户的UID/GID
若可临时修改容器启动命令为sh/bash，进入容器后执行id命令查看当前用户的UID和GID，确认该身份在EFS目录上有写入权限。若容器以非root用户运行，必须保证EFS目录对该UID/GID开放权限。
验证NFS挂载参数
Fargate默认使用NFS 4.1挂载EFS，无需额外参数。若EFS挂载目标有特殊配置，可检查是否需要调整挂载选项（如no_root_squash，但Fargate中该参数优先级低于Access Point权限配置，更推荐用Access Point处理身份映射）。

内容的提问来源于stack exchange，提问作者Markus Müller

从Fargate ECS任务访问EFS文件系统失败且无AWS报错

任务配置 #

文件系统策略 #

任务配置

文件系统策略