如何排查AWS CloudFormation部署MWAA时的内部服务器错误

基础配置校验 #

• 检查MWAA资源的必填参数是否完整合法：比如Name不能含特殊字符、长度符合要求；SourceBucketArn对应的S3桶必须存在且和MWAA在同一区域；ExecutionRoleArn关联的角色必须配置了MWAA所需权限（比如AmazonMWAAFullAccess或自定义权限），且信任关系要设为airflow.amazonaws.com。
• 确认MWAA版本和环境类别的兼容性：部分旧版本可能不支持某些环境类别，先查清楚当前区域支持的版本与环境类别组合。
• 核对VPC配置：MWAA必须部署在VPC内，且至少要有2个私有子网；安全组要开放必要的入出站规则，比如内部端口8080、443，以及和S3、CloudWatch、KMS等服务的通信权限。

权限与资源依赖检查 #

• 验证CloudFormation执行角色的权限：确保该角色有mwaa:CreateEnvironment、s3:GetBucketLocation、kms:DescribeKey（用自定义KMS密钥时）等权限，避免因权限不足触发内部错误。
• 检查关联资源状态：关联的S3桶是否启用版本控制（部分MWAA版本要求），桶内的DAG包、requirements.txt等文件是否存在且格式正确；如果用了KMS密钥，确认密钥策略允许MWAA服务角色访问。
• 检查服务配额：通过AWS控制台的服务配额页面，查看当前区域MWAA的环境创建配额是否已用尽。

部署调试技巧 #

• 简化模板测试：把MWAA资源从原模板中单独拎出来，写一个只包含必填参数的最小化模板，单独部署试试。如果成功，再逐步加回原模板的其他配置，定位问题点。
• 用AWS CLI手动创建：执行aws mwaa create-environment命令，传入和模板一致的参数。如果CLI报错，会得到更详细的信息；如果CLI能成功，说明CloudFormation模板的参数或语法有问题。
• 查看CloudFormation事件日志：即使资源没创建，堆栈事件里可能有更细的错误线索，比如某个参数校验失败的细节，去控制台的堆栈事件里找。

服务侧问题排查 #

• 查AWS Health Dashboard：看看当前区域有没有MWAA的故障或维护通知，内部错误可能是AWS服务端临时问题导致的。
• 提交AWS支持工单：如果以上排查都没结果，直接提交工单，提供Request ID（21fea850-9cf7-4977-a947-d10dd3cc1a13）和CloudFormation的RequestToken（f2384bd0-68a6-44d3-d57d-fed3a52f817b），让AWS技术团队帮忙排查服务端内部错误的原因。

内容的提问来源于stack exchange，提问作者val