为何无--follow选项时AWS Copilot Task Run始终返回退出码0？

核心原因分析 #

1. 不带--follow时返回0的本质
   copilot task run不加--follow时，仅完成ECS任务的提交操作——只要任务成功提交到ECS集群，命令就返回0，不会等待任务实际执行完成。这是Copilot的设计逻辑：默认模式下只负责提交任务，不跟踪后续执行状态，文档未明确说明这点属于疏漏，但实际行为就是如此。

2. --follow在CodeBuild中报错的原因
   CodeBuild提示“任务从未进入就绪状态”，基本是网络或权限问题：

   • CodeBuild所在VPC与ECS任务的VPC未打通，导致Copilot无法拉取任务日志或查询任务状态；
   • CodeBuild的安全组未开放访问ECS API、CloudWatch Logs的权限；
   • CodeBuild的IAM角色缺少ecs:DescribeTasks、logs:GetLogEvents等必要权限，无法跟踪任务状态。

可行解决方案 #

方案一：不使用--follow，手动轮询任务状态 #

通过AWS CLI配合Copilot，手动等待任务结束并获取真实退出码，适配CI/CD管道：

# 提交任务并获取任务ARN
TASK_ARN=$(copilot task run --image %URLToImage% --output json | jq -r '.tasks[0].taskArn')

# 等待任务执行停止
aws ecs wait tasks-stopped --cluster <你的ECS集群名称> --tasks $TASK_ARN

# 获取容器真实退出码并返回
EXIT_CODE=$(aws ecs describe-tasks --cluster <你的ECS集群名称> --tasks $TASK_ARN | jq -r '.tasks[0].containers[0].exitCode')
exit $EXIT_CODE

注意：需要确保CI/CD环境的IAM角色拥有ecs:DescribeTasks、ecs:WaitTasksStopped权限。

方案二：修复--follow在CodeBuild中的问题 #

针对CodeBuild的环境配置调整：

• VPC与安全组：将CodeBuild项目配置到ECS任务所在的VPC，或建立VPC对等连接；安全组允许CodeBuild实例出站访问ECS API端口（443）和CloudWatch Logs服务；
• IAM权限：为CodeBuild的执行角色添加以下权限：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ecs:DescribeTasks",
          "ecs:ListTasks",
          "logs:GetLogEvents",
          "logs:DescribeLogStreams"
        ],
        "Resource": "*"
      }
    ]
  }
  

内容的提问来源于stack exchange，提问作者Adam