ECS从Fargate切换EC2启动类型后ecs-agent重启、任务卡PROVISIONING求助

针对你遇到的ECS任务卡在PROVISIONING状态、ecs-agent报ClientException: The referenced cluster was inactive的问题，按以下步骤排查：

1. 确认ECS集群状态 #

• 登录ECS控制台，查看目标集群的状态字段，确保显示为ACTIVE；
• 用CLI命令验证：

  aws ecs describe-clusters --clusters <你的集群名称>
  

  检查返回结果中clusters[0].status是否为ACTIVE。若为INACTIVE，说明集群被标记为非活跃，需重新创建集群或联系AWS支持恢复。

2. 验证EC2实例的集群配置 #

• 检查用户数据（User Data）：ecs-init依赖用户数据中的ECS_CLUSTER=<集群名>参数关联集群，若未配置或集群名称错误，agent会无法找到目标集群。
  • 控制台查看：进入EC2实例详情页，切换到"高级详情"标签查看用户数据；
  • CLI解码查看：

    aws ec2 describe-instances --instance-ids <实例ID> --query 'Reservations[0].Instances[0].UserData' | base64 -d
    

    确认是否存在正确的ECS_CLUSTER配置项。
• 核对ECS AMI兼容性：你使用的ami-0da25582fb45be38c需是对应区域的官方ECS优化AMI。可通过以下方式确认：
  • 进入ECS集群的"EC2实例"页面，点击"启动实例"查看官方推荐的AMI；
  • 用Systems Manager参数查询对应区域的官方AMI：

    aws ssm get-parameter --name "/aws/service/ecs/optimized-ami/amazon-linux-2/recommended/image_id" --region <你的区域>
    

    若当前AMI非官方版本，替换为官方AMI重新测试。

3. 检查IAM实例角色权限 #

EC2实例的实例角色（而非Auto Scaling Group的角色）需具备ECS注册实例的权限：

• 确认实例角色已附加AmazonEC2ContainerServiceforEC2Role托管权限，或自定义权限包含以下核心操作：
  ecs:RegisterContainerInstance、ecs:DeregisterContainerInstance、ecs:Submit*、ecs:Poll*
• 检查角色的信任关系，确保允许ec2.amazonaws.com扮演该角色，避免权限被拒绝导致注册失败。

4. 验证网络连通性 #

ecs-agent需要访问ECS API才能完成实例注册，需确保网络通畅：

• 安全组配置：实例所在安全组需允许**出站HTTPS（443端口）**流量到AWS ECS服务端点（可使用对应区域的AWS服务前缀列表）；
• VPC网络ACL：确认网络ACL允许出站443流量及对应的入站回包；
• DNS解析测试：登录EC2实例执行nslookup ecs.<你的区域>.amazonaws.com，验证是否能正常解析ECS API域名。

5. 核对容量提供者与ASG关联配置 #

• 检查容量提供者详情，确认已正确关联目标Auto Scaling Group，且ASG的"ECS集群"属性已设置为你的目标集群；
• 验证ECS服务的容量提供者策略：

  aws ecs describe-services --cluster <集群名> --services <服务名>
  

  确认服务的capacityProviderStrategy包含你创建的容量提供者，且weight、base参数配置正确。

6. 查看详细日志定位问题 #

• 查看ecs-init日志（路径：/var/log/ecs/ecs-init.log），记录了agent启动过程中的配置加载、权限验证、集群注册等细节；
• 查看ecs-agent日志（路径：/var/log/ecs/ecs-agent.log），获取更多报错上下文信息，辅助定位根因。

内容的提问来源于stack exchange，提问作者mangusta