aws-compute

Amazon EC2 计算

使用 AWS MCP 服务可获得最佳体验；也可单独使用 AWS CLI，无论哪种方式都不构成硬性依赖。

重要警告

启动配置已弃用，且不支持当前的 EC2 实例类型；新账户无法创建启动配置。创建任何新的 Auto Scaling 组时都应使用启动模板。请参阅 auto-scaling.md。

ASG 默认会忽略 ELB 运行状况检查：除非设置 --health-check-type ELB，否则 Auto Scaling 组只会使用 EC2 状态检查。若未设置，未通过负载均衡器运行状况检查的实例会永远留在服务中。请参阅 auto-scaling.md。

IMDSv2 跳数限制会导致容器无法使用元数据：默认的 HttpPutResponseHopLimit 为 1，会使 IMDSv2 令牌 PUT 响应无法到达容器化进程（多经过一跳就会超出响应 TTL），因此令牌请求会超时。对于 bridge/awsvpc 容器工作负载，请将 HttpPutResponseHopLimit 设置为 2。（如果 IMDSv2 为 必需，后续不带令牌的 GET 请求会返回 401；如果为可选，则会静默回退到 IMDSv1。）请参阅 provisioning.md。

T3/T3a/T4g 默认启用无限模式：与 T2（标准模式）不同，这些实例突发时不会受到限制，但当 24 小时平均 CPU 使用率超过基准水平时，会对超出的 CPU 积分收费——这会悄然增加成本。请参阅 instance-selection.md。

实例存储是临时存储：实例存储卷上的数据会在停止、休眠、终止、更改实例类型或主机故障时丢失，只有重启后仍会保留。请将任何需要持久保存的数据放到 EBS/EFS/S3 上。请参阅 instance-selection.md。

你需要哪方面的帮助？

如果你正在决定……	指引
实例系列／大小／Graviton／GPU／突增型	instance-selection.md — 从工作负载→系列对照表开始
如何定义实例并重复使用（启动模板）	provisioning.md
如何运行大量可自动扩缩的实例	auto-scaling.md
如何在不使用 SSH 密钥的情况下访问／修补／管理实例	systems-manager.md

快速导航

你想要……	前往
选择实例类型、比较 Graviton 与 x86、了解突增积分、GPU、实例存储与 EBS	instance-selection.md
创建启动模板、用户数据、密钥对、IMDSv2、置放群组、弹性 IP	provisioning.md
设置或修复 Auto Scaling 组、扩缩策略、实例刷新、Spot、生命周期钩子	auto-scaling.md
获取无需 SSH 的访问权限、修补实例集，或修复实例未显示为受管节点的问题	systems-manager.md
创建、共享或停用（弃用／禁用／注销）AMI	ami-management.md
修复故障（无法连接、状态检查失败、容量错误、实例卡住）	troubleshooting.md

常见工作流

“搭建可自动扩缩的 Web 实例集群” → 创建启动模板（AMI、实例类型、IMDSv2），然后创建引用该模板的 ASG，并设置 --health-check-type ELB 和目标跟踪策略，参见 auto-scaling.md。对于公共入口，请按照下文的安全注意事项以及 auto-scaling.md 中有关负载均衡器的说明，确保负载均衡器安全（TLS/ACM、WAF、安全响应标头）——负载均衡器本身的构建应由 aws-networking 负责。

“向我的实例集推出新的 AMI” → 创建新的启动模板版本 → 执行实例刷新；固定为数字启动模板版本，以确保可以回滚，参见 auto-scaling.md。

“在没有堡垒机的情况下连接到私有实例” → 为实例配置 SSM 权限（包含 AmazonSSMManagedInstanceCore 的实例配置文件，或账户级 DHMC）以及网络路径，然后使用 Session Manager，参见 systems-manager.md。

“降低 EC2 成本” → 选择合适的实例规格（可突增型或固定性能型），应用支持 Arm64 时选择 Graviton；对容错型实例集使用带 price-capacity-optimized 的 Spot；释放闲置的 Elastic IP，参见 instance-selection.md。

故障排查

症状	可能原因	快速修复
SSH“连接超时”	网络路径（SG/NACL/路由/无公有 IP）	从你的 IP 开放 TCP 22；检查到 IGW 的路由；确认公有 IP——参见 troubleshooting.md
SSH“连接被拒绝”	主机：sshd 未运行或仍在启动	等待启动完成；通过 Session Manager 或串行控制台检查 sshd/端口
InsufficientInstanceCapacity	AWS 在该 AZ 中缺少此实例类型的容量（不是配额问题）	尝试其他 AZ/实例类型，或重试；不要申请提高配额
InstanceLimitExceeded	已达到 vCPU 配额（这是配额问题）	申请提高该实例系列的 Service Quotas 配额
ASG 从未替换负载均衡器健康检查失败的实例	健康检查类型仍为 EC2	设置 --health-check-type ELB
实例卡在 Pending:Wait，约 1 小时后终止	生命周期钩子从未完成（心跳超时为 3600 秒，默认值为 ABANDON）	调用 complete-lifecycle-action 并指定 CONTINUE，或将 DefaultResult 设为 CONTINUE
系统状态检查失败	AWS 主机/硬件问题	停止并重新启动实例，以迁移到新硬件（重启不会迁移）
实例状态检查失败	实例操作系统/网络配置问题	重启实例，或修复操作系统/网络配置

完整表格及更多错误信息请参见 troubleshooting.md。

安全注意事项

• 在启动模板上强制使用 IMDSv2（HttpTokens=required），以阻止基于 SSRF 的凭证盗窃；按区域设置账户级默认值（仅适用于新启动的实例）。
• 优先使用 Session Manager，而非入站 SSH——无需开放 22 端口或管理密钥，并且会记录会话 API 调用的 CloudTrail 日志；启用 Session Manager 会话日志记录，将日志发送到 CloudWatch Logs/S3（默认关闭），以捕获会话期间执行的命令本身——参见 systems-manager.md。
• 使用实例配置文件，绝不嵌入凭证；将角色权限限制在最小权限范围内。
• 加密 EBS/AMI；要跨账户共享加密 AMI，请使用客户托管的 KMS 密钥重新加密（默认的 aws/ebs 密钥无法共享）。
• 在所有区域启用 CloudTrail，以审计 EC2/ASG/SSM API 活动，并针对敏感操作（更改安全组、由意外主体执行 RunInstances/TerminateInstances）设置警报，以便及时发现未授权更改。
• 对于面向公众的 Web 实例集，在负载均衡器的 HTTPS 监听器上配置 ACM 证书以加密传输中的流量，并添加 AWS WAF，通过纵深防御抵御常见的 Web 漏洞攻击——负载均衡器/WAF 的配置本身属于 aws-networking。
• 如需在本指南之外进一步强化安全性，请参阅 AWS EC2 security best practices 和适用于客户操作系统的 CIS 基准。

本技能不涵盖的内容

• 使用最佳实践默认值启动单个加固后的实例 → 使用 launching-ec2-instance-with-best-practices 技能
• 为 EC2 创建 IAM 角色/实例配置文件 → 使用 setting-up-ec2-instance-profiles 技能
• 使用 Image Builder 流水线构建 AMI → 使用 amazon-ec2-image-builder 技能
• Lambda/无服务器 → aws-serverless；ECS/Fargate → aws-containers；EKS/Kubernetes → kubernetes
• VPC、子网、ALB/NLB、端点 → 使用 aws-networking 或内置知识
• IAM 策略逻辑和 CloudWatch 控制面板/Agent 配置 → aws-iam、aws-observability