AWS负载均衡器/目标组443端口异常返回503问题排查

核心故障逻辑：跳过ECS服务创建流程的自动目标组创建步骤、选择预创建目标组时，未完成服务与目标组的生命周期绑定，ECS服务控制器不会自动将运行中的任务实例注册到目标组，ALB找不到可转发的后端，就会返回503，对应访问日志forward字段为-。

第一步：先确认故障根因 #

打开ALB控制台，进入你提前创建的HTTPS目标组详情页，查看「已注册目标」列表：

• 如果列表为空，没有任何运行中ECS任务对应的IP/实例条目，直接走「场景1」修复
• 如果列表有条目但状态全部为unhealthy，走「场景2」修复

场景1：目标组无已注册后端（匹配当前日志特征） #

按以下步骤修复：

1. 进入对应ECS集群，找到创建好的ECS服务，点击「更新」
2. 滚动到「负载均衡」配置区块，找到「容器到负载均衡的映射」配置项
3. 确认暴露443端口的容器条目，已经正确关联到预创建的HTTPS目标组：
   • 容器端口填443
   • 目标组下拉选择提前创建的HTTPS目标组
   • 如果需要同时对外提供80端口HTTP服务，新增一条映射规则，关联80端口容器到预创建的HTTP目标组
4. 确认配置无误后，勾选「强制新部署」，保存服务更新
5. 等待2-3分钟，待新的任务启动完成后，回到目标组页面，查看已注册目标列表，等条目状态变为healthy后，再访问ALB地址验证即可

注意：ECS服务创建流程中提示新建目标组，本质是自动帮你完成「容器端口-目标组」的映射绑定、以及后续任务启停时自动在目标组中注册/注销后端的配置。手动选择预创建目标组时，如果没有在映射配置区完成关联，ECS控制器不会识别到需要把任务注册到这个目标组，就会出现目标组为空的问题。

场景2：目标组有注册条目但健康检查失败 #

如果目标组已经看到注册的任务条目，但全部不健康，按以下顺序排查：

1. 核对目标组健康检查配置：
   • 健康检查协议如果选HTTPS，如果容器443端口用的是自签证书，必须开启「跳过目标证书验证」开关，否则ALB发健康检查请求时会因为证书不信任判定后端不健康
   • 健康检查路径不要配置需要鉴权、会返回401/403的路径，优先选容器能直接返回200/3xx/4xx状态码的公开路径，比如根路径/
   • 健康检查端口确认和容器对外暴露的端口一致，不要填错成其他端口
2. 核对安全组规则：
   • ECS任务/宿主机绑定的安全组，必须放通ALB所属安全组的入方向访问，端口覆盖80、443，不能仅放通公网IP段
3. 核对目标组类型：
   • 如果目标组类型为ip，注册的后端应该是ECS任务弹性网卡的辅助IP
   • 如果目标组类型为instance，注册的后端应该是ECS宿主机实例ID，且对应端口为桥接网络模式下自动分配的动态宿主机端口

避坑提示 #

不要手动往目标组中添加静态IP或者ECS实例条目，ECS服务在任务调度、版本更新、异常替换时会自动更新目标组的注册条目，手动添加的静态条目会在任务漂移后失效，再次触发503故障。

内容的提问来源于stack exchange，提问作者Trevor