使用自定义实例角色时AWS AppRunner出现异常故障

使用AWS AppRunner时，默认实例角色因无SecretsManager权限导致调用立即失败，符合预期；但配置具备对应权限的自定义角色后，应用挂起近5分钟才失败，报错含SIGTERM信号，说明是容器启动超时被AppRunner强制终止（AppRunner默认启动超时为300秒）。结合日志里No pending migrations to apply可知，prisma migrate deploy已完成，问题出在后续启动Node服务的环节。

可能原因及排查方向 #

• IAM角色权限/信任关系问题

  • 确认自定义角色已包含secretsmanager:GetSecretValue权限，且目标Secret的资源ARN配置正确。
  • 若Secret使用自定义KMS密钥加密，需额外添加kms:Decrypt权限（针对该KMS密钥），否则读取Secret时会静默超时。
  • 检查角色信任策略，确保主体包含apprunner.amazonaws.com，示例信任策略片段：

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Service": "apprunner.amazonaws.com"
          },
          "Action": "sts:AssumeRole"
        }
      ]
    }
    

• 网络配置限制

  • 若AppRunner部署在VPC模式下，必须配置SecretsManager的VPC接口端点（com.amazonaws.<区域>.secretsmanager），否则容器无法访问SecretsManager，导致请求超时。
  • 验证数据库网络连通性：AppRunner所在VPC的子网安全组需开放数据库端口（如PostgreSQL的5432），且数据库的安全组允许AppRunner子网的流量访问。

• 服务启动逻辑问题

  • 检查Node服务启动时读取Secret后的数据库连接逻辑，是否存在无限重试或未设置合理超时时间，导致进程卡住直到被系统终止。
  • 拆分启动命令单独测试：先执行npx prisma migrate deploy，再手动启动node ./dist/src/main，观察具体在哪一步出现卡顿或错误。

额外排查建议 #

查看AppRunner控制台的完整日志输出，除npm日志外，可能包含SecretsManager调用失败的详细错误（如权限不足、网络超时）或数据库连接失败的堆栈信息，帮助定位具体卡点。

内容的提问来源于stack exchange，提问作者mamidon