ECS无法承担角色求助：Lambda触发Batch任务执行失败

我帮你梳理下这个报错的常见解决办法，我自己调试过好多次这类问题了！你的报错核心是ECS服务没法获取你指定的任务角色arn:aws:iam::749340585813:role/golfnow-invoke-write-progress的权限，虽然你已经给角色加了Lambda和ECS相关权限，但大概率是信任关系配置不对，或者有几个容易忽略的细节没处理好，一步步来排查：

1. 优先检查任务角色的信任策略 #

这是最常见的触发原因！ECS任务角色需要明确允许ECS任务服务来扮演它，也就是信任主体必须包含ecs-tasks.amazonaws.com。

操作步骤：

• 打开IAM控制台，找到角色golfnow-invoke-write-progress
• 切换到「信任关系」标签页，点击「编辑信任策略」
• 确保策略内容包含以下配置（如果原来只有Lambda的服务主体，一定要加上ECS任务的）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ecs-tasks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

2. 确认任务角色的权限适配场景 #

你提到已经添加了Lambda和ECS权限，但要注意：任务角色的权限是给容器内运行的应用程序使用的，不是给Lambda或ECS服务本身。比如如果你的任务需要写入S3、调用其他AWS服务，要确保角色里有对应的具体权限（比如s3:PutObject、lambda:InvokeFunction等）。不过这个是任务执行阶段的权限问题，先搞定信任关系再检查这个也不迟。

3. 检查Lambda执行角色的iam:PassRole权限 #

因为你是通过Lambda调用Batch任务，Lambda的执行角色必须拥有传递这个任务角色的权限，也就是允许iam:PassRole动作作用在目标任务角色的ARN上。

操作步骤：

• 找到你的Lambda函数对应的执行角色
• 编辑其权限策略，添加如下语句：

{
  "Effect": "Allow",
  "Action": "iam:PassRole",
  "Resource": "arn:aws:iam::749340585813:role/golfnow-invoke-write-progress"
}

如果Lambda没有这个权限，它没法把任务角色传递给Batch/ECS，也会触发类似的报错。

4. 验证角色的基础状态 #

最后确认下这个任务角色没有被禁用，也没有设置权限边界限制了ECS的角色扮演动作。在IAM角色的「摘要」页面可以查看状态，若有权限边界，要确保它允许sts:AssumeRole给ecs-tasks.amazonaws.com。

修改完配置后，建议等个1-2分钟让IAM策略生效（偶尔会有延迟），再重新触发Lambda调用Batch任务试试。

内容的提问来源于stack exchange，提问作者Nate Reed