AWS EC2 Instance Connect建立RDP隧道失败，仅返回'VpcId'提示

遇到这种只返回VpcId的诡异提示确实挺头疼的，我帮你梳理几个可能的解决方向，结合你描述的情况（控制台能正常使用），大概率是CLI的自动发现逻辑或者参数缺失导致的：

1. 显式指定Instance Connect Endpoint ID #

控制台能正常连接，说明你的VPC里已经存在可用的Instance Connect Endpoint（ICE）。默认情况下，CLI会尝试自动发现同VPC下的ICE，但这个自动发现过程可能因为多端点存在、权限不足等问题出错，直接指定端点ID就能绕开这个问题：

1. 先去AWS控制台找到对应VPC下的Instance Connect Endpoint，复制它的ID（格式类似eice-xxxxxx）
2. 修改你的命令，加上--instance-connect-endpoint-id参数：

aws ec2-instance-connect open-tunnel \
    --instance-id <my-instance-id> \
    --remote-port 3389 \
    --local-port 33389 \
    --instance-connect-endpoint-id <你的ICE端点ID>

2. 确认CLI的Region配置正确 #

虽然你说已经确认CLI连接的是正确账号，但有可能CLI默认的Region和你的EC2实例所在Region不一致，导致无法找到目标实例的相关资源。你可以：

• 在命令中显式指定实例所在的Region，比如实例在us-east-1的话：

aws ec2-instance-connect open-tunnel \
    --instance-id <my-instance-id> \
    --remote-port 3389 \
    --local-port 33389 \
    --region us-east-1

• 或者检查本地~/.aws/config文件中的默认Region是否和实例Region匹配。

3. 验证IAM权限的细节 #

虽然你提到IAM用户权限正确，但建议再确认是否包含以下几个关键权限（尤其是自动发现ICE需要的描述权限）：

• ec2-instance-connect:OpenTunnel
• ec2:DescribeInstances
• ec2:DescribeInstanceConnectEndpoints
  如果缺少ec2:DescribeInstanceConnectEndpoints权限，CLI无法自动发现ICE，就可能返回模糊的VpcId提示。

4. 尝试升级AWS CLI版本 #

你的CLI版本是aws-cli/2.17.20，这个版本可能存在一些已知的小bug，升级到最新版本往往能解决这类奇怪的问题：

# Ubuntu系统升级命令示例
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip
sudo ./aws/install

升级完成后重新运行隧道命令，看是否恢复正常。

备注：内容来源于stack exchange，提问作者user1751825