AWS Batch作业启动失败：Resourceinitializationerror错误排查与修复

Resourceinitializationerror: failed to validate logger args: create stream has been retried 7 times: failed to create Cloudwatch log stream: RequestError: send request failed caused by: Post "https://logs.eu-central-1.amazonaws.com/": dial tcp: lookup logs.eu-central-1.amazonaws.com on 172.31.0.2:53: no such host : exit status 1

排查修复步骤 #

• 确认VPC端点类型与配置

  • CloudWatch Logs的VPC端点必须是Interface类型，Gateway类型不适用，先检查端点类型是否正确。
  • 验证端点安全组：确保Batch计算环境的实例/任务所在安全组，能向端点安全组的443端口发起出站TCP请求；同时端点安全组要允许来自计算环境安全组的443端口入站请求。
  • 检查端点子网：确保Batch计算环境使用的子网与端点所在子网存在路由连通，或端点直接部署在计算环境的子网内。

• 验证VPC DNS配置

  • 开启VPC的DNS支持：在VPC设置中，确认DNS hostnames和DNS resolution均设为true，这是VPC端点私有DNS解析的前提。
  • 测试域名解析：在计算环境的EC2实例中执行nslookup logs.eu-central-1.amazonaws.com，正常应返回VPC端点的私有IP地址。如果返回公网IP或解析失败，说明DNS配置存在问题。
  • 自定义DNS检查：如果VPC使用了自定义DNS服务器，需配置Route 53 Resolver规则，将logs.eu-central-1.amazonaws.com解析到VPC端点的私有IP；或确保自定义DNS能正确转发该域名的解析请求到VPC默认DNS。

• 检查Batch计算环境网络配置

  • 计算环境安全组：确认出站规则允许访问logs.eu-central-1.amazonaws.com的443端口，或允许访问VPC端点的私有IP/前缀列表的443端口。
  • 子网路由表：路由表中需包含指向CloudWatch Logs VPC端点的前缀列表（格式为pl-xxxxxx）的路由，确保流量能路由到端点而非公网。
  • 任务权限（Fargate场景）：虽然错误源于解析，但可顺带确认任务执行角色拥有logs:CreateLogStream和logs:PutLogEvents权限，避免后续出现权限类问题。

• 核对VPC端点服务名称

  • 确认创建的端点服务名称为com.amazonaws.eu-central-1.logs，区域标识eu-central-1必须与当前区域完全匹配，避免因名称错误导致无法解析。

内容的提问来源于stack exchange，提问作者alexander zak