AWS Nitro Enclave启动后自动关闭，请求排查可能原因

问题场景 #

我们使用c6a.8xlarge实例创建了基于Nitro的EC2实例，开发了Node.js应用：

• 执行命令成功生成EIF文件：

  nitro-cli build-enclave --docker-uri ec2-user/nitro-test-app:latest --output-file nitro-enclave.eif
  

• 运行Enclave的命令返回启动成功：

  nitro-cli run-enclave --cpu-count 2 --memory 3524 --eif-path nitro-test.eif --debug-mode
  

  返回结果显示Enclave已分配资源，但执行nitro-cli describe-enclaves返回空数组，日志提示：

  [enc-*******0f0dc91:***0][WARN][2022-08-24T22:35:28.916Z][src/enclave_proc/mod.rs:207] Received hang-up event from the enclave. The enclave process will shut down.
  [enc-*******0f0dc91:***0][INFO][2022-08-24T22:35:28.916Z][src/enclave_proc/mod.rs:541] Enclave process 5430 exited event loop.
  

排查方向 #

以下是导致Enclave启动后立即停止的常见原因：

• EIF文件路径/名称不匹配
  生成的EIF文件名为nitro-enclave.eif，但启动命令中指定的是nitro-test.eif。文件名不一致会导致Enclave无法加载正确的应用镜像，启动后直接退出。先验证文件路径和名称是否完全一致。

• 内存配置不符合Nitro Enclave要求
  Nitro Enclave要求分配的内存必须是128MiB的整数倍，你指定的3524MiB不满足这个条件（128×27=3456，128×28=3584）。内存配置不合法会导致Enclave初始化失败，触发进程退出。调整内存值为128的整数倍后重试。

• Node.js应用未适配Enclave环境
  Nitro Enclave是隔离的极简环境，没有常规EC2实例的系统服务和完整依赖：

  • 若应用依赖外部系统库、未设置必要的环境变量，会导致启动失败；
  • 若应用执行完一次性任务后直接退出（而非启动持续运行的服务，比如监听vsock端口），Enclave会因进程结束而停止。
    检查应用代码，确保在Enclave环境中能持续运行，且依赖的资源都已包含在Docker镜像内。

• Docker镜像构建存在缺陷
  构建EIF的Docker镜像可能存在问题：

  • 镜像的启动命令无效或未正确设置；
  • 应用文件缺少执行权限；
  • 使用的用户身份无足够权限运行应用；
    重新检查Dockerfile，确保镜像能在本地Docker环境正常运行后，再重新构建EIF文件。

• 实例Enclave支持配置问题
  确认c6a.8xlarge实例已开启Nitro Enclave支持：

  • 实例创建时需勾选"Enable Nitro Enclaves"选项；
  • 主机上的Nitro Enclave服务已正常运行。

内容的提问来源于stack exchange，提问作者Vahaj Uddin