Fargate定时任务FailedInvocation报错求助：定时任务无法启动

我之前也碰到过一模一样的情况——普通Fargate任务/服务跑的顺风顺水，换成CloudWatch触发的定时任务就直接报FailedInvocations，连半条日志都找不到，折腾了好一阵才摸清几个容易踩的坑，给你列几个排查方向：

1. 先盯紧CloudWatch规则的VPC配置细节 #

你提到已经知道要在CloudWatch规则里配置子网和安全组，但这里藏着几个容易忽略的坑：

• 子网选择要靠谱：要么选公有子网，要么选的私有子网必须配置了NAT网关——因为Fargate任务启动时得拉取镜像，必须能访问外网。要是选了没NAT的私有子网，任务连镜像都拉不到，直接就挂了，日志代理都没机会启动，自然看不到任何日志。
• 安全组不能锁太死：安全组必须允许出站HTTPS（443端口）流量，用来拉取ECR镜像或者其他依赖资源。如果任务还要访问VPC内的服务，再针对性加规则，但先保证能拉到镜像再说。
• 规则执行角色权限要补全：CloudWatch Events的执行角色除了ecs:RunTask，还得有ec2:CreateNetworkInterface、ec2:DescribeNetworkInterfaces、ec2:DeleteNetworkInterface这几个权限——因为Fargate要创建弹性网络接口（ENI）来接入VPC，权限不够的话直接启动失败。

2. 核对任务定义的网络配置 #

虽然普通任务能跑，但定时任务的网络模式是由CloudWatch规则指定的，得确认：

• 任务定义的networkMode必须是awsvpc（Fargate强制要求，别的模式根本跑不起来）。
• 容器的端口映射如果有配置，要确保和安全组规则不冲突——不过这个一般不会导致启动失败，更多是运行后的问题，但也可以快速排除下。

3. 一定要看CloudWatch规则的历史记录！ #

你只看到了FailedInvocations指标，但规则的历史记录才是定位问题的关键：
进入CloudWatch控制台 → 找到你的定时规则 → 切换到「历史记录」标签页，这里会显示每次触发的详细错误信息——比如权限不足、子网不可用、镜像拉取失败、ENI创建失败等等。这些错误日志比ECS的日志更早，因为任务还没启动就挂了，这地方我当初差点漏掉，结果在这找到了镜像拉取失败的直接原因。

4. 检查任务执行角色的基础权限 #

任务定义里的执行角色（注意和CloudWatch规则的角色不是同一个），要确保它有logs:CreateLogStream、logs:PutLogEvents权限——虽然你现在是任务启动失败，但如果这个角色权限不够，就算任务启动了也写不了日志，顺便排查下也没坏处。

5. 集群和任务定义的兼容性检查 #

• 任务定义的平台版本别太老，建议用1.4.0及以上的稳定版，太旧的版本可能和CloudWatch触发有兼容性问题。
• CloudWatch规则和ECS集群必须在同一个AWS区域，跨区域触发是不支持的，别犯这种低级错误。

6. 手动触发测试更快 #

在CloudWatch规则页面点「测试」按钮，手动触发一次任务，然后立刻去看历史记录的错误信息，不用等定时触发，能快速定位问题。

我当时的问题就是选了没配NAT的私有子网，任务拉不到ECR镜像，在历史记录里一眼就看到了错误提示，换了带NAT的私有子网就搞定了。你先去看规则的历史记录，应该能直接找到问题根源！

内容的提问来源于stack exchange，提问作者toing_toing