AWS Application Load Balancer跨账号通过IP创建Target Group问题咨询

前置检查项 #

• 先确认A账号ALB所在VPC与B账号EC2所在VPC的网络连通性，优先选择同区域VPC对等连接或Transit Gateway实现私网互通，需保证两个VPC网段无冲突，双向路由表配置正确，B账号EC2的安全组、网络ACL已放通A账号ALB VPC CIDR段到对应服务端口的入站流量。
• 提前在A账号启动一台临时EC2，测试与B账号EC2对应服务端口的连通性，确认网络链路无问题后再配置目标组。

具体配置步骤 #

1. 登录A账号AWS控制台，进入EC2服务的「目标组」页面，点击「创建目标组」
2. 基础配置阶段：
   • 目标类型选择 IP 地址
   • 协议、端口填写业务对应的配置，如 HTTP:80 或 HTTPS:443
   • VPC选择A账号中ALB所在的VPC即可，无需关联B账号资源
   • 健康检查路径、端口配置为B账号EC2上服务可正常响应的路径
3. 注册目标阶段：网络选择「其他私有IP地址」，直接填入B账号EC2的私有IP与对应服务端口，点击「包括」后完成目标组创建
4. 进入A账号ALB的监听器配置页面，将新创建的目标组绑定到对应监听器，等待健康检查状态变为healthy即可正常转发流量

常见配置受阻排查 #

• 注册IP时提示地址无效：优先确认填入的是B账号EC2的私有IP，同区域场景下不要填写公网IP；若为跨区域场景，需选择填写公网IP，同时确保B账号EC2的公网访问权限正常。
• 健康检查持续失败：重新核对VPC对等/中转网关的路由配置、B账号EC2的安全组入站规则，确认已放通A账号ALB的网段流量，同时检查健康检查的路径、端口与实际服务配置是否匹配。
• 权限类报错：检查当前操作账号的IAM策略是否包含elasticloadbalancing:RegisterTargets、elasticloadbalancing:CreateTargetGroup等必要权限，同时确认组织SCP未限制IP类型目标组的创建。

内容的提问来源于stack exchange，提问作者MOBO