AI Shell 查 ECS：返回 0 台，不一定代表账号里没有实例

一次跨区域 ECS 只读盘点

我在 AI 开发者空间里打开 AI Shell，从预设「查询运行中的 ECS 实例」开始，目的是盘点当前账号各区域正在运行的云服务器。任务只读：不创建、不修改、不停止或删除任何资源。

最初几个区域返回空列表，我没有马上得出“账号里没有 ECS”的结论。只有当请求成功、区域适用于当前账号、状态筛选明确时，空列表才表示该区域没有符合筛选条件的实例。查询报错意味着访问没有完成，并不代表资源不存在。

把结果分成四类

1. 查询成功，列表为空

如果 ECS 查询接口正常返回，但 status=ACTIVE 的结果是空，结论应限定为：这个区域当前没有处于运行中状态的 ECS。

它不排除该区域存在已关机实例，也不代表其他区域没有资源。如果要回答“有没有任何 ECS”，就需要另做一次不带运行状态筛选的查询，并检查所有有权限访问的区域。

2. 403：账号没有该区域的访问权限

本次排查里，有些区域返回权限错误。对这些区域，结果应写成“当前身份无权查询”，不能记成“0 台”。否则一份看似完整的清单，会把权限盲区伪装成空区域。

处理方式是检查当前 IAM 用户/委托是否有对应区域的 ECS 查询权限；在权限获得前，把该区域单独列为未确认。

3. 401 或 Project ID 无法解析

部分区域会因为账号域名不适用、区域未开通或 Project ID 不存在而失败。这同样不是空列表。先确认区域是否属于当前账号域，再确认该区域项目是否已开通，最后才谈资源查询结果。

4. 查询成功且返回实例

本次在新加坡（ap-southeast-3）查到一台状态为 ACTIVE 的 ECS，规格为 2 vCPU / 2 GiB，属于包周期实例。文章不抄录实例名与完整 ID，避免暴露不必要的资源标识。结果表应记录区域、状态和必要规格；是否记录具体 ID，应由排障或审计目的决定。

这里还发现一个值得警惕的点：AI Shell 的汇总说扫描了 27 个区域，但它给出的分类数量相加是 28（18 个查询成功但为空、1 个区域有实例、2 个无权限、4 个账号域不支持、3 个项目不存在）。这代表汇总至少有一处计数不一致。因此，单台实例的发现有明确区域结果；但“完整扫完所有区域”的说法要先对照逐区原始结果复核，不能只照抄总结。

查询结果还暴露出一个值得记录的数据质量问题：摘要称覆盖了 27 个区域，但分组明细数量相加为 28。未核对原始逐区结果前，不应把这个总数当作准确覆盖数。当前能确定的是：新加坡区域有 1 台 ACTIVE 实例；若干查询成功的区域返回 0 台；另有权限不足、区域不适用于当前账号域、Project ID 无法获取等失败项。默认区域 cn-north-4 还做了一次不带状态筛选的查询，返回也为空。对 0 台的结论只适用于请求成功的区域；失败的区域仍是未知。

用表格保留“未知”

我现在会把跨区域结果整理成下面这种格式，而不是只写“有/没有”：

｜ 区域 ｜ 查询结果 ｜ 应如何解释 ｜
｜---｜---｜---｜
｜ 区域 A ｜ 成功，返回 1 条 ACTIVE ｜ 已确认有运行中实例 ｜
｜ 区域 B ｜ 成功，返回空列表 ｜ 只确认没有 ACTIVE 实例 ｜
｜ 区域 C ｜ 403 Forbidden ｜ 权限不足，资源数量未知 ｜
｜ 区域 D ｜ 401 / Project ID 不存在 ｜ 区域或账号域不匹配，资源数量未知 ｜

这里的“未知”不是统计上的零。把错误和空结果分开，才不会让报表比真实数据更确定。

AI Shell 预设也要带上安全边界

预设很方便，但自然语言里最好明确查询范围和禁止动作。我这次的要求是：列出当前账号运行中的实例，只做只读检查，不创建、修改、停止或删除任何资源；结果按区域汇总，并解释查询失败与空列表的差别。

如果需要命令行逐区核对，查询脚本会带上区域和状态条件，例如：

``bash
python list_servers_details.py --region <region> --status ACTIVE
``

实际执行前要先确认脚本参数和当前认证身份；不要把示例区域、输出或账号配置硬套到生产环境。遇到 401/403 时，应先记录错误并停止对该区域下结论，不能为了“补齐结果”去改权限或切换凭据。

结论

一次跨区域资源盘点，重要的不只是找到了几台实例，还要交代哪些区域查成功了、哪些为空、哪些因权限或账号域问题没查成。成功的空结果是一个有限结论，失败的查询是未知，不是零。

我把这条原则记下来：先列查询覆盖范围，再分“有资源 / 成功为空 / 无权限 / 区域不适用”，最后才汇总。这样 AI Shell 的结果既可读，也不会把未验证的部分说成确定事实。