将EC2实例注册至ECS集群报错 提示身份文档签名无效

你走了错误的实例注册流程，触发了身份校验逻辑不匹配：

• 你点击的Register External Instances（注册外部实例）入口，是ECS为非AWS环境主机（本地物理机/虚拟机、其他云厂商服务器）提供的接入通道，这个流程只认外部实例激活时生成的专用激活密钥，不会校验AWS EC2实例自带的实例身份文档与签名。
• 你要注册的Codestar启动的EC2实例属于AWS原生计算资源，走外部实例注册通道时，ECS Agent会默认携带EC2实例本身的身份文档提交注册请求，自然会被服务端判定为身份凭证无效，也就是你日志里看到的InvalidParameterException: The identity document and identity document signature were not valid报错，最终导致Agent启动超时。

• 先清理错误安装的外部实例版本ECS Agent及残留配置：

  # Amazon Linux/CentOS/RHEL系执行
  sudo yum remove -y amazon-ecs-init
  sudo rm -rf /etc/ecs/
  # Ubuntu/Debian系执行
  sudo apt remove -y amazon-ecs-init
  sudo rm -rf /etc/ecs/
  

• 给目标EC2实例绑定符合要求的IAM实例角色，角色必须附加AmazonEC2ContainerServiceforEC2Role托管权限策略，保证实例有接入ECS集群的API调用权限。
• 安装EC2场景适配的官方ECS Agent：

  # Amazon Linux 2执行
  sudo amazon-linux-extras install -y ECS
  # Ubuntu/Debian系执行
  sudo apt update && sudo apt install -y amazon-ecs-init
  

• 配置Agent接入目标集群：新建/etc/ecs/ecs.config文件，写入配置项ECS_CLUSTER=你的目标ECS集群名称，保存后执行sudo systemctl restart ecs && sudo systemctl enable ecs重启服务并设置开机自启。
• 等待1-2分钟后刷新ECS控制台的集群实例列表，即可看到该EC2实例正常注册上线，不会再触发身份校验错误。

内容的提问来源于stack exchange，提问作者user2500414