AWS ECS Fargate任务无法启动：HTTP请求超时4999ms排查求助

核心问题场景 #

用Terraform部署的ECS Fargate集群已稳定运行1年+，近期无配置改动。常规部署流程是推送新镜像后停掉旧任务，服务会按期望计数自动拉起新任务，但今日该流程失效；手动启动任务时报错：Http request timed out enforced after 4999ms，手动启动的任务会被标记为“Deployment restart”停止；服务尝试启动的任务显示“Task provisioning failed”且无启动时间戳，站点已完全下线，AWS健康监控无异常告警。

排查步骤 #

• 优先检查ECS服务与任务事件日志

  • 登录ECS控制台，定位目标服务，查看「服务事件」面板：这里会记录服务调度失败的具体触发原因，比如资源配额不足、IAM权限拒绝、任务定义校验失败等——哪怕你没主动改配置，也可能存在镜像关联失效、角色权限被隐性变更的情况。
  • 针对「Task provisioning failed」的任务，用CLI拉取详细事件：执行aws ecs describe-tasks --cluster <集群名称> --tasks <任务ARN>，重点看输出中的failures字段和events数组，里面会包含控制台没显示的底层错误信息。

• 验证Fargate资源调度可用性

  • 检查当前区域的Fargate资源配额：执行aws ecs describe-account-settings --name fargate-resources查看CPU/内存的可用配额，或在ECS控制台集群的「集群配置」→「Fargate资源」页面确认；若配额接近上限，尝试调整任务的CPU/内存规格（临时调低或调高），或切换任务的启动可用区（如果任务定义指定了固定AZ，改成无限制或更换AZ）。

• 排查IAM权限有效性

  • 检查ECS任务执行角色：确保角色拥有ecr:GetDownloadUrlForLayer、ecr:BatchGetImage、ecr:BatchCheckLayerAvailability（拉取镜像必备），以及logs:CreateLogStream、logs:PutLogEvents（日志推送）权限；用IAM控制台的「访问顾问」查看角色最近的访问记录，确认是否有被拒绝的请求。
  • 检查ECS服务角色：确保角色具备ecs:StartTask、ecs:StopTask、ecs:UpdateService等服务调度所需权限，避免服务无法触发任务启停。

• 检查镜像与网络连通性

  • 验证ECR镜像可用性：本地执行docker pull <ECR镜像完整地址>，测试镜像是否能正常拉取，排查镜像损坏、ECR区域访问异常等问题。
  • 检查任务网络配置：
    • 确认子网是否有可用IP，是否配置了NAT网关（若任务需访问公网拉取镜像）；安全组是否允许出站访问ECR（443端口）、CloudWatch Logs（443端口）及业务依赖服务。
    • 在同VPC的EC2实例上执行nslookup <ECR域名>，测试DNS解析是否正常，避免因DNS故障导致镜像拉取失败。

• 核对Terraform状态与配置一致性

  • 执行terraform state show aws_ecs_service.<服务名称>，对比输出结果与ECS控制台的服务配置：重点检查任务定义的CPU/内存、镜像地址、环境变量、网络模式是否一致，排查状态漂移或隐性配置变更。
  • 查看任务定义的版本历史，确认是否存在意外的版本更新（比如脚本误操作、自动更新触发）。

• 定位任务启动超时根源

  • 检查任务启动命令/入口点：若启动脚本存在阻塞逻辑（比如等待不可用的依赖服务），会导致任务初始化超时被Fargate终止，需核对启动脚本逻辑。
  • 检查CloudWatch Logs：哪怕任务快速失败，也要查看对应日志组的初始化日志，可能会找到任务启动失败的具体报错。

临时恢复方案 #

• 紧急恢复可尝试：复制现有任务定义并调整CPU/内存规格（或更换镜像标签），更新ECS服务使用新任务定义，触发滚动更新；
• 或用CLI手动启动任务：aws ecs run-task --cluster <集群名称> --task-definition <任务定义名称>:<版本号> --launch-type FARGATE --network-configuration "awsvpcConfiguration={subnets=[<子网ID>],securityGroups=[<安全组ID>],assignPublicIp=ENABLED}"

内容的提问来源于stack exchange，提问作者mmachenry