CloudFormation部署ECS+ALB时服务权限错误排查

这个错误的核心原因是ECS服务所使用的IAM角色缺少必要的权限来与ALB目标组交互，或者角色的信任策略配置不正确，导致ECS服务无法扮演该角色完成目标组的验证操作。我之前处理过好几个类似的CloudFormation部署ECS+ALB的权限问题，下面是一步步的排查和解决方法：

1. 确认ECS服务角色的信任策略配置正确 #

ECS服务角色必须允许ECS服务主体（ecs.amazonaws.com）来扮演它，否则会直接出现"无法假设角色"的问题。在CloudFormation中，角色的信任策略应该按如下方式配置：

ECSServiceRole:
  Type: AWS::IAM::Role
  Properties:
    AssumeRolePolicyDocument:
      Version: '2012-10-17'
      Statement:
        - Effect: Allow
          Principal:
            Service: ecs.amazonaws.com
          Action: sts:AssumeRole

2. 为角色添加与ALB目标组交互的必要权限 #

ECS服务需要权限来注册/注销目标组中的任务，以及描述目标组信息来完成验证。你需要给角色附加包含以下权限的策略：

自定义最小权限策略示例 #

如果追求权限最小化，推荐使用自定义策略：

ECSServiceRolePolicy:
  Type: AWS::IAM::Policy
  Properties:
    PolicyName: ECSServiceLoadBalancerPolicy
    PolicyDocument:
      Version: '2012-10-17'
      Statement:
        - Effect: Allow
          Action:
            - elasticloadbalancing:RegisterTargets
            - elasticloadbalancing:DeregisterTargets
            - elasticloadbalancing:DescribeTargetGroups
            - elasticloadbalancing:DescribeTargetHealth
          Resource: !Ref YourALBTargetGroupArn # 替换成你的目标组ARN，也可用通配符匹配同账户下的目标组
    Roles:
      - !Ref ECSServiceRole

快捷方案（使用托管策略） #

如果不需要严格的最小权限控制，也可以直接给角色附加AWS托管策略AmazonECSServiceRolePolicy，它包含了ECS服务运行所需的大部分常用权限，自然也覆盖了与ELB交互的必要权限。

3. 检查CloudFormation中服务与角色的关联是否正确 #

在ECS服务的定义中，务必确保你正确指定了Role属性为上述的ECS服务角色ARN：

ECSService:
  Type: AWS::ECS::Service
  Properties:
    # 其他服务配置（集群、任务定义等）...
    Role: !Ref ECSServiceRole
    LoadBalancers:
      - TargetGroupArn: !Ref YourALBTargetGroupArn
        ContainerName: YourContainerName
        ContainerPort: 80 # 替换成你的容器暴露端口

4. 额外排查点 #

• 确认目标组ARN是否拼写正确，且目标组与ECS服务处于同一个AWS区域
• 如果目标组配置了资源级权限策略，要确保ECS服务角色被明确允许访问该目标组
• 检查角色是否被权限边界（Permission Boundary）或组织级SCP（服务控制策略）限制了ELB相关操作

按照上面的步骤调整后，重新部署CloudFormation堆栈，应该就能解决这个权限错误了。

内容的提问来源于stack exchange，提问作者Ludo