如何修改AWS Fargate上Grafana容器环境变量对接MySQL数据库

核心认知澄清（对应你的三个疑问） #

• 本地执行docker ps -a看不到Fargate上的容器是正常现象。Fargate是AWS托管的无服务器容器运行时，容器运行在AWS托管的基础设施上，既不在你的本地机器上，也没有对外开放的宿主机操作系统权限，本地Docker命令、直接SSH登录宿主机的操作逻辑完全不适用。
• Grafana本身的配置规则（包括连接数据库的环境变量格式）和本地运行容器的要求完全一致，你查到的Grafana官方文档里的参数值可以直接用，区别仅在于Fargate上你不能直接操作运行中的容器，所有配置需要通过ECS任务定义（Task Definition）下发。
• 不需要SSH进容器修改配置。Fargate遵循不可变基础设施原则，运行中容器内的手动修改会在容器重建、调度时完全丢失，你提到环境用Terraform维护，最规范的方式就是直接修改Terraform中维护的任务定义配置，通过发布流程更新即可。

配置前置准备 #

先准备好Grafana连接MySQL需要的固定参数，这部分和本地Docker运行Grafana的参数完全一致：

• 数据库类型固定为mysql
• MySQL实例的内网访问地址+端口（默认3306，注意不要用公网地址，避免额外网络开销和安全风险）
• 提前在MySQL中创建好给Grafana用的库、专属访问账号，给账号分配对应库的全部读写权限
• 数据库密码不要明文存储，提前存到AWS Secrets Manager或者SSM参数存储，后续任务定义里直接引用密钥ARN即可，避免明文泄露

Terraform 侧具体修改步骤 #

1. 定位到Terraform代码中对应Fargate服务的aws_ecs_task_definition资源块，找到Grafana对应的容器配置段
2. 在容器配置的environment字段下新增以下环境变量，非敏感值直接填明文：

environment = [
  {
    name  = "GF_DATABASE_TYPE",
    value = "mysql"
  },
  {
    name  = "GF_DATABASE_HOST",
    value = "<你的MySQL内网地址>:3306"
  },
  {
    name  = "GF_DATABASE_NAME",
    value = "<提前创建的Grafana库名>"
  },
  {
    name  = "GF_DATABASE_USER",
    value = "<Grafana专属访问账号用户名>"
  }
]

3. 在容器配置的secrets字段下新增数据库密码的引用，从密钥服务拉取敏感值，不要写在environment里：

secrets = [
  {
    name      = "GF_DATABASE_PASSWORD",
    valueFrom = "<你存储Grafana数据库密码的Secrets Manager/SSM参数对应的ARN>"
  }
]

4. 提前校验网络连通性：确认Fargate任务绑定的安全组允许出站3306端口到MySQL实例，同时MySQL实例绑定的安全组允许Fargate任务安全组的入站3306请求，否则会出现网络不通连库失败的问题
5. 执行标准Terraform发布流程：先跑terraform plan确认变更范围为任务定义更新、对应ECS服务的任务版本更新，确认没有非预期变更后执行terraform apply下发配置
6. ECS会自动触发服务滚动更新，拉起使用新任务定义的Grafana容器，等待新任务通过健康检查、旧任务被终止后，配置就会生效

避坑提示 #

• 不要手动在AWS控制台修改任务定义后不更新Terraform代码，下次执行Terraform apply时会直接覆盖手动修改的内容，造成配置漂移
• 不要尝试通过ECS Exec等方式进入运行中的容器修改配置文件，这类临时修改在容器重建、调度时会全部丢失，不符合Fargate的运维规范
• 如果只是临时测试配置，可以在ECS控制台创建新版本的任务定义添加对应环境变量，再更新服务指向新版本任务，但测试完成后必须把对应配置同步回Terraform代码
• 不需要安装、操作任何本地Docker命令完成配置，所有操作都通过Terraform或者AWS控制台完成即可

内容的提问来源于stack exchange，提问作者Christine M