ECS服务部署后无法向SNS主题发布消息 报context canceled错误

问题根因定位方向 #

你遇到的canceled, context canceled错误本质是传入AWS Go SDK调用的上下文被主动终止，结合1分钟固定超时、宿主机功能正常但容器内异常的特征，按以下优先级排查即可定位问题：

• 优先排查ECS任务权限与IMDS访问配置
  你给EC2实例绑定的IAM角色仅对宿主机上的ECS Agent生效，运行在容器内的应用默认无法直接复用实例角色的权限，必须单独给ECS任务配置任务角色（Task IAM Role），这是ECS的权限隔离设计，和实例角色权限无关。
  其次是实例元数据服务（IMDS）跳数限制问题：EC2实例默认的IMDSv2响应跳数上限为1，容器内访问IMDS的网络跳数为2，请求会被直接丢弃。AWS Go SDK v2默认会优先从IMDS拉取临时访问凭证，请求失败后会按默认策略重试，累计重试到1分钟左右时上下文被终止，就会抛出你看到的错误。
  验证方法：登录EC2宿主机，通过docker exec进入运行中的API容器，执行以下命令测试IMDS连通性：

  TOKEN=$(curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600")
  curl -H "X-aws-ec2-metadata-token: $TOKEN" http://169.254.169.254/latest/meta-data/iam/security-credentials/
  

  如果命令超时无返回，即可确认是该问题。
  修复方案：

  1. 给ECS任务配置独立的Task IAM Role，授予SNS发布所需的最小权限
  2. 修改EC2实例的IMDS配置，将响应跳数上限调整为2，可通过EC2控制台或者AWS CLI执行以下命令修改：

     aws ec2 modify-instance-metadata-options --instance-id <你的EC2实例ID> --http-put-response-hop-limit 2 --http-endpoint enabled
     

• 排查上下文（Context）超时配置问题
  这个错误和你配置的API客户端5分钟超时没有直接关联，重点检查服务端侧的超时逻辑：

  1. 如果你直接把HTTP请求处理器的r.Context()作为参数传给SNS发布接口，检查服务端是否配置了全局请求超时中间件，不少Go Web框架（Gin、Echo等）的默认超时中间件会给请求上下文设置60秒超时，会直接终止所有绑定该上下文的下游调用。
  2. 检查AWS SDK v2的重试配置，SDK默认的最大重试累计耗时刚好接近1分钟，如果底层请求持续失败，触发重试超时阈值后会主动取消上下文。

• 排查容器网络连通性问题
  宿主机上能正常发布SNS消息不代表容器内网络连通：

  1. 进入容器后通过AWS CLI或者curl测试SNS端点连通性，SNS服务默认通过443端口提供HTTPS服务，如果你修改过任务关联安全组的出站规则，拦截了443端口的出站流量，会导致SDK持续重试连接直到上下文取消。
  2. 如果你的EC2实例没有分配公网IP，且当前默认VPC没有配置SNS的VPC端点，容器通过bridge网络无法访问公网SNS地址，也会触发持续重试超时。

• 辅助排查手段
  初始化SNS客户端时开启SDK的debug日志，打印完整的请求链路日志，确认请求卡在凭证拉取、TCP连接建立、TLS握手哪个阶段，可快速缩小排查范围。如果需要在接口返回后异步推送SNS消息，不要直接复用HTTP请求的上下文，单独创建带独立超时的上下文传入SNS调用，避免请求返回后上下文被终止导致推送失败。

内容的提问来源于stack exchange，提问作者Akshay Bharambe