如何配置AWS ALB以支持ECS上基于gRPC通信的Docker微服务

我来帮你一步步梳理怎么给ECS上的gRPC微服务配置AWS ALB，刚好之前帮团队处理过几乎一模一样的场景，咱们逐个解决你的疑问：

你提到只看到HTTP/1相关设置，其实是个容易忽略的细节：gRPC完全基于HTTP/2，ALB不需要专门的“gRPC模式”，只要确保监听器和目标组启用HTTP/2即可。控制台里的HTTP/2选项藏在监听器的协议配置里，不是单独的模块，咱们后面会具体说。

1. 先创建应用负载均衡器，VPC选择和你的ECS集群一致的，子网要覆盖任务部署的可用区。
2. 配置监听器：
   • 如果是公网访问，建议创建HTTPS:443监听器（gRPC在公网环境下几乎都用TLS加密）；如果是内部微服务通信，也可以用HTTP:50051（或者你自定义的gRPC端口）。
   • 关键操作：在监听器的「协议版本」下拉框里，选择HTTP/2（选HTTPS时才会出现这个选项，HTTP监听器默认支持HTTP/2但需要确认）。
   • 如果你用HTTPS，记得绑定AWS ACM里的证书（提前申请好对应域名的证书即可）。

你的每个微服务有两个端口：gRPC业务端口 + 8080健康检查API，这里不需要创建两个目标组，只要在同一个目标组里自定义健康检查端口就行：

1. 创建目标组，目标类型选IP（因为ECS用AWSVPC网络模式时，每个任务有独立的ENI IP，必须选IP类型）。
2. 目标组基础配置：协议选HTTP/2，端口填你的gRPC容器端口（比如50051），VPC和集群一致。
3. 健康检查配置（重点！）：
   • 把「端口」从「目标组端口」改成「自定义」，输入8080。
   • 协议选HTTP（因为你的健康检查API是HTTP/1的），路径填你的健康检查接口（比如/health），预期状态码选200。
   • 调整健康检查的间隔、超时时间（比如间隔10秒，超时5秒），符合你的服务健康逻辑。

1. 在ECS任务定义里，确保两个端口都被正确暴露：分别添加gRPC端口（比如50051）和8080端口的容器端口映射，主机端口可以用动态端口（让ECS自动分配）。
2. 创建或更新ECS服务时，在「负载均衡」配置里，选择刚才创建的目标组，将任务的gRPC端口关联到目标组的端口。
   • 注意：ECS服务的网络模式必须是AWSVPC，否则无法和ALB的IP型目标组配合。

1. 回到ALB的监听器页面，编辑规则：
   • 如果两个微服务用不同域名区分：添加规则，匹配「主机头」为grpc-service-a.yourdomain.com，转发到服务A的目标组；同理配置服务B的规则。
   • 如果用路径区分：gRPC的路径格式是/packageName.ServiceName/MethodName，可以用通配符匹配，比如/serviceA/*转发到服务A的目标组。
   • 基础配置可以先加一条默认规则，把所有流量转发到其中一个服务，再逐步细化。

• 用grpcurl工具测试gRPC调用：

  # 假设用HTTPS，域名是grpc-service-a.yourdomain.com，调用HelloService的SayHello方法
  grpcurl -d '{"name": "test"}' grpc-service-a.yourdomain.com:443 com.example.HelloService/SayHello
  

• 查看ALB目标组的「目标状态」，确保所有ECS任务都显示「健康」（这说明8080的健康检查生效了）。
• 检查ALB的访问日志，确认gRPC请求被正确转发，状态码映射正常（gRPC的状态码会被ALB转换成对应的HTTP状态码，比如gRPC OK对应HTTP 200）。

• 如果你用的是ECS经典网络模式，目标组要选「实例」类型，但强烈建议迁移到AWSVPC模式，更灵活也更符合现代微服务架构。
• 确保ECS任务的安全组允许ALB的安全组访问gRPC端口和8080端口，否则流量会被拦截。

内容的提问来源于stack exchange，提问作者Surbhi