AWS自定义AMI实例挂载卷文件无法执行 权限拒绝报错排查

你遇到的root账户也无法执行/tmp下脚本的问题，核心原因是独立挂载的/tmp分区设置了noexec挂载属性。
从你贴的块设备信息可以看到，你做了分区安全加固，将/tmp、/var、/home等路径拆分到独立的LVM逻辑卷挂载。这类加固配置默认会给/tmp、/var/tmp这类临时目录增加noexec、nosuid、nodev挂载参数，其中noexec的作用就是禁止该分区下的所有文件被直接执行——这个限制是文件系统挂载层面的，和文件本身的权限位、操作用户是不是root没有关系，哪怕你给文件设777权限，也绕不开这个限制。
OpsWorks的实例引导流程默认会先把agent安装脚本下载到/tmp目录下直接运行，刚好撞上这个挂载限制，所以会卡在引导阶段，报Permission denied错误。

直接执行以下命令查看/tmp的挂载参数，输出中如果包含noexec字段即可确认问题：

mount | grep /tmp

根据你的使用场景选对应方案即可：

• 单实例临时修复：重新挂载/tmp分区移除noexec限制，执行后即可正常运行安装脚本，该操作重启实例后会失效：

mount -o remount,exec /tmp

等OpsWorks agent安装完成后，如果需要保留临时目录的安全防护，可以再执行mount -o remount,noexec /tmp把参数改回去。

• 自定义AMI永久修复：如果后续要批量用这个AMI启动OpsWorks实例，建议在AMI内编辑/etc/fstab文件，找到/tmp对应的挂载配置行，删除参数中的noexec字段后保存即可。如果不想放开/tmp的执行权限，也可以修改OpsWorks引导阶段的临时目录环境变量，指定到/root下无noexec限制的目录存放安装脚本。

额外提示：你当前的分区配置里/var/tmp也是独立挂载点，建议同步检查该分区是否也带noexec参数，部分版本的OpsWorks agent运行过程中会用到/var/tmp路径，同样会触发执行权限报错。

内容的提问来源于stack exchange，提问作者Adam