关于AWS私有子网EC2执行aws s3 ls卡顿的原因及Terraform配置默认区域的疑问

我来帮你拆解这两个问题，都是AWS CLI和基础设施配置里常见的细节坑：

一、为什么EC2在指定区域的VPC里，还要单独配置CLI默认区域？ #

其实这是AWS CLI的工作机制和EC2实例部署区域的“职责分离”导致的：

• EC2实例的部署区域（us-west-2）是它的运行地理位置，但AWS CLI是独立的命令行工具，它不会自动从EC2所在的VPC/实例元数据里推断你要调用的AWS服务区域。
• 虽然S3是全局服务，但AWS CLI发起请求时，必须知道默认区域来完成两个关键操作：
  1. 构建符合签名要求的请求路径（哪怕S3全局，CLI也需要区域信息来生成合法的请求签名）；
  2. 如果你用了VPC端点访问S3，VPC端点是绑定到特定区域的，CLI指定的区域需要和VPC端点的区域匹配，否则请求会跳转到其他区域的公网端点，导致私有子网内的请求超时卡顿。
• 之前你没配置默认区域时，CLI会默认尝试us-east-1区域，这和你的基础设施所在的us-west-2不匹配，所以请求卡在了网络层面或者签名验证环节，迟迟没有响应。

二、Terraform配置默认区域，一定要用userdata吗？ #

不一定，有几种更灵活的方式可选，看你的场景：

1. 用userdata直接写入配置文件（最直接） #

这是最直观的方式，Terraform里可以通过 heredoc 生成配置内容，写入实例的~/.aws/config：

resource "aws_instance" "private_subnet_ec2" {
  # 其他实例配置（AMI、实例类型、子网关联等）...
  user_data = <<-EOF
              #!/bin/bash
              mkdir -p /home/ec2-user/.aws
              cat > /home/ec2-user/.aws/config <<CONF
              [default]
              region=us-west-2
              CONF
              chown -R ec2-user:ec2-user /home/ec2-user/.aws
              EOF
}

2. 设置环境变量替代配置文件 #

AWS CLI会优先读取环境变量AWS_DEFAULT_REGION，你可以在userdata里设置全局环境变量，让所有登录用户都生效：

resource "aws_instance" "private_subnet_ec2" {
  # 其他实例配置...
  user_data = <<-EOF
              #!/bin/bash
              echo "export AWS_DEFAULT_REGION=us-west-2" >> /etc/profile.d/aws.sh
              chmod +x /etc/profile.d/aws.sh
              EOF
}

这样实例启动后，所有用户执行AWS CLI命令时，都会自动用us-west-2作为默认区域。

3. 结合Terraform变量统一管理 #

如果你的基础设施区域是用Terraform变量定义的（比如variable "aws_region" { default = "us-west-2" }），可以把变量代入配置，避免硬编码：

variable "aws_region" {
  description = "AWS region for infrastructure"
  type        = string
  default     = "us-west-2"
}

resource "aws_instance" "private_subnet_ec2" {
  # 其他实例配置...
  user_data = templatefile("${path.module}/userdata.tpl", {
    aws_region = var.aws_region
  })
}

然后创建userdata.tpl模板文件：

#!/bin/bash
mkdir -p /home/ec2-user/.aws
cat > /home/ec2-user/.aws/config <<CONF
[default]
region=${aws_region}
CONF
chown -R ec2-user:ec2-user /home/ec2-user/.aws

备注：内容来源于stack exchange，提问作者kaushal47