AWS CloudFormation部署ECS服务时随机出现角色无法承担错误求助

我之前批量部署ECS服务时踩过一模一样的坑！这种随机报错看起来毫无规律，但根源基本都是IAM角色的最终一致性延迟加上CloudFormation并行创建资源的时序问题——虽然你的IAM角色栈已经显示创建完成，但AWS的IAM服务需要一点时间才能让角色的权限/信任关系在所有区域节点生效，当CloudFormation批量启动ECS服务时，部分服务会赶在角色完全生效前尝试调用权限，就会抛出这个错误。

下面是几个亲测有效的解决方案，按推荐程度排序：

1. 添加自定义资源验证角色可假设性（最可靠） #

在你的服务栈里加一个Lambda-backed自定义资源，专门验证ECS服务角色是否能被正确假设，只有验证通过后才继续创建ECS服务，彻底避开IAM的最终一致性延迟问题。

示例Lambda核心逻辑（Python）：

import boto3
import time

def lambda_handler(event, context):
    sts_client = boto3.client('sts')
    role_arn = event['ResourceProperties']['RoleArn']
    max_retries = 10
    retry_delay = 5  # 每次重试等待5秒
    
    for _ in range(max_retries):
        try:
            sts_client.assume_role(RoleArn=role_arn, RoleSessionName='cfn-validation-session')
            return {'Status': 'SUCCESS', 'Data': {'Message': 'Role is ready'}}
        except Exception as e:
            time.sleep(retry_delay)
    
    return {'Status': 'FAILED', 'Data': {'Message': 'Role not ready after retries'}}

然后在CloudFormation模板里引用这个自定义资源，让所有ECS服务都DependsOn它：

ValidateECSRole:
  Type: Custom::ValidateECSRole
  Properties:
    ServiceToken: !Sub 'arn:aws:lambda:${AWS::Region}:${AWS::AccountId}:function:YourValidationLambda'
    RoleArn: !ImportValue MyECSServiceRoleARN

MyECSService1:
  Type: AWS::ECS::Service
  DependsOn: ValidateECSRole
  Properties:
    # 你的服务配置
    Role: !ImportValue MyECSServiceRoleARN

2. 确保ECS服务角色的权限和信任关系完全正确 #

虽然你可能已经配置了角色，但还是要再检查一遍，确保没有遗漏关键权限：

• 信任策略必须允许ECS服务假设该角色：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "ecs.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

• 权限策略至少包含以下必要权限（根据负载均衡类型可调整）：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "elasticloadbalancing:DescribeListeners",
          "elasticloadbalancing:DescribeLoadBalancers",
          "elasticloadbalancing:DescribeTargetGroups",
          "elasticloadbalancing:RegisterTargets",
          "elasticloadbalancing:DeregisterTargets",
          "ec2:DescribeInstances",
          "ec2:DescribeInstanceStatus",
          "ecs:DescribeServices"
        ],
        "Resource": "*"
      }
    ]
  }
  

3. 给ECS服务添加创建延迟或分批部署 #

如果不想写自定义Lambda，也可以通过调整部署时序避开IAM生效窗口：

• 用DependsOn让服务按顺序创建：比如让Service2依赖Service1，Service3依赖Service2，这样CloudFormation会逐个创建服务，给IAM留出生效时间。
• 临时应急可以用WaitCondition资源，在创建服务前等待固定时间（比如30秒），不过这种方法不够灵活。

4. 检查角色导入的正确性 #

虽然是随机错误，但还是要确认导入的角色ARN是正确的——有时候栈输出可能不小心输出了角色名而非ARN，或者存在拼写错误，这种情况也可能导致部分服务失败。可以在CloudFormation控制台查看导入值的实际内容，确保是完整的角色ARN。

内容的提问来源于stack exchange，提问作者Theo Sweeny