如何为单个ECS服务关联两个目标组并注册集群实例

你已经完成了目标组和监听器的配置，现在的核心问题是让ECS自动把容器目标注册到新的目标组里——毕竟手动加实例的方式不仅麻烦，还适配不了ECS的自动扩缩容。下面分两种方案给你讲，优先推荐第一种：

方案1：让ECS服务自动关联并注册目标到多个目标组（推荐） #

ECS服务本身支持同时关联多个负载均衡目标组，每个目标组对应容器的一个暴露端口。你只需要在aws_ecs_service的Terraform配置里添加第二个load_balancer块，指定新的目标组和对应的容器端口即可。

示例Terraform代码 #

resource "aws_ecs_service" "your_app_service" {
  name            = "${var.env_prefix_name}-app-service"
  cluster         = aws_ecs_cluster.your_cluster.id # 替换成你的ECS集群ID
  task_definition = aws_ecs_task_definition.your_task.arn # 替换成你的任务定义ARN
  desired_count   = 2

  # 原有端口的负载均衡关联（比如你之前配置的那个）
  load_balancer {
    target_group_arn = aws_lb_target_group.existing_target_group.arn
    container_name   = "your-container" # 替换成你的容器名称（要和任务定义里一致）
    container_port   = 80 # 容器暴露的原有端口
  }

  # 新增的admin目标组关联
  load_balancer {
    target_group_arn = aws_lb_target_group.e_admin.arn
    container_name   = "your-container" # 和上面同一个容器
    container_port   = 5280 # 容器暴露的admin端口
  }

  # 如果你用的是awsvpc网络模式，必须配置下面的网络参数
  network_mode = "awsvpc"
  launch_type  = "FARGATE" # 或者EC2，根据你的类型来
  subnets      = aws_subnet.your_subnets.*.id
  security_groups = [aws_security_group.ecs_service_sg.id]
}

关键注意点 #

• 如果你的ECS服务用的是awsvpc网络模式（不管是Fargate还是EC2启动类型），请确保你的目标组aws_lb_target_group.e_admin的target_type设置为ip：

  resource "aws_lb_target_group" "e_admin" {
    name = "${var.env_prefix_name}-admin"
    port = 5280
    protocol = "HTTP"
    vpc_id = "${aws_vpc.VPC.id}"
    target_type = "ip" # 新增这一行，awsvpc模式必须用ip类型
    health_check {
      path = "/admin"
      healthy_threshold = 2
      unhealthy_threshold = 10
      port = "traffic-port" # 这里可以改成traffic-port，自动用目标组的端口，不用写死5280
      timeout = 90
      interval = 100
      matcher = "401,200"
    }
  }
  

• 确保容器的任务定义里已经正确暴露了5280端口，比如任务定义的containerDefinitions里有：

  "portMappings": [
    {"containerPort": 80, "hostPort": 0},
    {"containerPort": 5280, "hostPort": 0}
  ]
  

• 安全组要放行：LB的安全组允许访问5280端口，ECS服务/实例的安全组允许LB的安全组访问5280端口。

方案2：手动关联ECS的Auto Scaling Group到目标组（不推荐，仅特殊场景用） #

如果你因为某些原因一定要把ECS实例所在的ASG直接关联到目标组，可以用aws_autoscaling_attachment资源来绑定，但这种方式有明显局限：

示例代码 #

resource "aws_autoscaling_attachment" "ecs_asg_admin_target_group" {
  autoscaling_group_name = aws_autoscaling_group.your_ecs_asg.name # 替换成你的ECS实例ASG名称
  lb_target_group_arn   = aws_lb_target_group.e_admin.arn
}

局限说明 #

• 这种方式是把ECS实例注册到目标组，而不是容器。如果你的容器用的是bridge模式且端口随机映射（hostPort:0），目标组检查的是实例的5280端口，但容器实际没监听这个端口，健康检查会直接失败。
• 只有当你的任务定义里把容器的5280端口固定映射到实例的5280端口（hostPort:5280）时，这种方法才有效，而且还要确保每个ECS实例上只跑一个容器（否则端口冲突）。

最后验证步骤 #

1. 应用Terraform配置后，等待ECS服务更新完成
2. 去目标组的控制台查看，应该会看到注册的目标（如果是awsvpc模式，显示的是容器的IP；如果是EC2模式，显示的是实例IP）
3. 检查健康检查状态，如果失败，先确认容器在5280端口能正常响应/admin路径，返回200或401状态码

内容的提问来源于stack exchange，提问作者Adiii