Auto Scaling扩容失败求助：安全组在指定VPC中不存在

这个问题我之前帮同事排查过，核心原因很明确：你的Auto Scaling组（ASG）还在引用原来的旧安全组‘X’，而你修改Elastic Beanstalk（EB）环境的安全组后，ASG的配置并没有自动同步更新，所以当ASG尝试启动新实例时，就会报错说安全组在VPC‘Y’中不存在。

下面是一步步的解决方法：

• 确认Auto Scaling组的安全组配置
  首先得确认ASG到底在引用哪个安全组：

  • 控制台操作：进入AWS EC2控制台，找到「Auto Scaling Groups」，选中你的目标ASG，切换到「Details」标签，查看「Launch template」或「Launch configuration」里的安全组设置，看是不是还是旧的‘X’。
  • CLI操作：执行以下命令（替换成你的ASG名称）：

    aws autoscaling describe-auto-scaling-groups --auto-scaling-group-names <你的ASG名称>
    

    查看输出中LaunchTemplate.LaunchTemplateData.SecurityGroups字段的值，确认是不是旧安全组ID或名称。

• 更新Auto Scaling组的启动配置/模板
  根据你使用的是启动模板还是启动配置，做对应的更新：

  • 如果用的是启动模板：进入EC2控制台的「Launch Templates」，找到ASG关联的模板，创建一个新版本，在「Network settings」里选择你现在使用的安全组。然后回到ASG的配置页面，把「Launch template」的版本切换到刚创建的新版本。
  • 如果用的是启动配置：创建一个新的启动配置，指定正确的安全组，然后在ASG的「Details」标签里，点击「Edit」，把「Launch configuration」换成新创建的那个。

• 触发Auto Scaling实例启动
  更新完配置后，你可以手动触发一次ASG的扩容活动，让它尝试启动新实例：

  • 控制台操作：在ASG的「Details」标签里，暂时把「Desired capacity」改成0，保存后再改回1（或者你需要的容量值）。
  • CLI操作：执行命令（替换成你的ASG名称和期望容量）：

    aws autoscaling set-desired-capacity --auto-scaling-group-name <你的ASG名称> --desired-capacity 1
    

• 验证结果
  等待几分钟后，回到ASG的「Activity history」标签，查看最新的活动记录，如果显示「Successful launch of instance」之类的信息，就说明问题解决了。

另外提醒一下：EB环境创建时会自动绑定一系列配套资源（ASG、安全组、负载均衡等），手动修改EB的安全组后，一定要同步检查关联的ASG配置，不然很容易出现这种不同步导致的问题。

内容的提问来源于stack exchange，提问作者tim_xyz