ECS集群中EC2实例无法注册（仅在公有子网启动时正常）

使用EC2启动类型搭建ECS集群时，私有子网中的EC2实例无法注册到集群。自动扩展组（ASG）已创建且实例已生成，但在集群→my-cluster→基础设施→容器实例中看不到该实例。经多次测试发现以下现象：

VPC配置 #

VPC CIDR: 10.0.0.0/16
Subnets:
    Public Subnet: 10.0.2.0/24 (ap-south-1a)
    Private Subnets:
        10.0.1.0/24 (ap-south-1a)
        10.0.3.0/24 (ap-south-1b)
        10.0.4.0/24 (ap-south-1c)
Internet Gateway: Attached to VPC
Route Table:
    0.0.0.0/0 → Internet Gateway
    Associated only with the public subnet

测试操作 #

1. 仅选择私有子网并禁用自动分配公网IP，EC2实例无法注册到ECS；
2. 同时选择私有和公有子网，仍禁用公网IP分配，实例未注册；
3. 启用自动分配公网IP但仅选择私有子网，依然无法成功；
4. 同时选择私有和公有子网并启用公网IP分配，仅当EC2实例在公有子网启动时才成功。

疑问 #

1. 为什么会出现这种情况？
2. 既然如此，为何允许仅选择私有子网来启动实例？
3. 若想让实例在私有子网运行，NAT网关是否可行？
4. 有没有办法调试实例无法注册到ECS的原因？

1. 原因分析：EC2实例要注册到ECS集群，必须和ECS控制平面建立HTTPS（443端口）连接，同时需要访问S3拉取容器代理配置、向CloudWatch上报日志等。你的私有子网路由表没有默认路由指向NAT网关，实例无法访问公网，也就无法和ECS服务通信，自然注册失败。另外私有子网不支持自动分配公网IP，即使开启该选项也不会生效，只有公有子网具备这个能力。

2. 允许选择私有子网的原因：AWS保留该选项是为了适配用户后续自行配置网络连通性的场景——比如用户可能后续添加NAT网关、VPC端点（ECS、S3、CloudWatch等）来让私有子网实例访问必要服务，而非强制必须一开始就使用公有子网。

3. NAT网关的可行性：完全可行。你需要在公有子网创建NAT网关并绑定弹性IP，然后给私有子网的路由表添加0.0.0.0/0 → NAT网关的默认路由。这样私有子网的实例就能通过NAT网关访问公网，和ECS控制平面通信完成注册。更优方案是配置VPC端点（ECS服务端点、ECS任务端点、S3网关端点等），实例无需走公网，直接通过VPC内部访问所需服务，更安全且节省成本。

4. 调试方法：

   • 查看EC2系统日志：通过EC2控制台进入实例详情页，在「监控」标签下获取系统日志，检查ecs-agent的启动日志，排查连接失败、配置错误等信息；
   • 登录实例检查代理状态：通过SSM会话管理器或堡垒机登录实例，执行systemctl status ecs（Amazon Linux 2）或service ecs status，查看ecs-agent运行状态；
   • 测试网络连通性：在实例上执行telnet ecs.<区域>.amazonaws.com 443或curl https://ecs.<区域>.amazonaws.com，验证是否能访问ECS控制平面；
   • 检查IAM角色权限：确保EC2实例关联的IAM角色拥有AmazonEC2ContainerServiceforEC2Role权限，该角色允许实例向ECS注册；
   • 检查安全组配置：确保实例安全组允许出站HTTPS（443）流量到公网或对应VPC端点。

内容的提问来源于stack exchange，提问作者Piyush Chaudhary