AWS DataSync从EFS同步至S3连接超时故障排查求助

问题1答复 #

你对aws_datasync_location_efs.source_efs.ec2_config的理解是正确的。该配置是DataSync服务为了访问你的内网EFS资源，自动在你指定子网内创建托管弹性网络接口（ENI）所用的配置，无需你自行创建维护EC2实例，任务执行完成后相关托管资源会被DataSync自动回收。

问题2答复 #

你当前配置最核心的错误是DataSync安全组的出站规则参数配置错误，其次还有多个可能的触发原因，按优先级排序如下：

• 出站安全组规则参数用错：你当前的egress_datasync_to_efs规则是为DataSync安全组添加出站规则，但错误使用了source_security_group_id参数指定EFS安全组，出站规则需要用destination_security_group_id指定流量的目标安全组，修改后的规则示例如下：

resource "aws_security_group_rule" "egress_datasync_to_efs" {
  type                     = "egress"
  from_port                = 0
  to_port                  = 65535
  protocol                 = "tcp"
  destination_security_group_id = "sg-049fd2c6708c42c20" # 改为目标为EFS安全组
  security_group_id        = aws_security_group.sg-datasync.id
}

• 未在DataSync指定的子网创建EFS挂载目标：需确认EFS文件系统fs-6b3f3753已经在你配置的子网subnet-09d919d3b76e9c7f0下创建了挂载目标，否则同VPC不同子网也无法访问EFS。
• 子网网络ACL拦截流量：检查DataSync所在子网的网络ACL配置，确认是否放行2049端口TCP流量的入站、出站规则，默认网络ACL为全放通，若你有自定义修改需要单独配置。
• EFS资源策略限制访问：如果你的EFS配置了自定义资源访问策略，需确认策略中未拦截DataSync服务的访问请求。
• EFS强制传输加密：如果你的EFS开启了强制TLS传输挂载，需要在DataSync任务的挂载选项中开启对应TLS配置，否则会挂载失败。

内容的提问来源于stack exchange，提问作者caffeine_inquisitor