Optimalkan penerapan tanpa server multi-akun dengan menggunakan alur kerja dan Tindakan AWS CDK GitHub

Buat repositori Amazon ECR di pusat. Akun AWS

Untuk berbagi gambar kontainer di beberapa Akun AWS, Anda harus mengonfigurasi akses lintas akun untuk Amazon ECR. Pertama, buat repositori Amazon ECR di pusat. Akun AWS

Untuk membuat repositori Amazon ECR, jalankan perintah berikut:

aws ecr create-repository --repository-name sample-repo

Dalam tugas selanjutnya, berikan akses tarik ke yang lain Akun AWS yang perlu menggunakan gambar kontainer.

Tambahkan izin lintas akun ke repositori Amazon ECR.

Untuk menambahkan izin lintas akun ke repositori Amazon ECR di pusat Akun AWS, jalankan kode berikut:

{
  "Version": "2008-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "LambdaECRImageRetrievalPolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "lambda.amazonaws.com"
      },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
      ],
      "Condition": {
        "StringLike": {
          "aws:sourceArn": "arn:aws:lambda:<Target_Region>:<Target_Account_ID>:function:*"
        }
      }
    },
    {
      "Sid": "new statement",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<Target_Account_ID>:root"
        },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
      ],
    }
  ] 
}

Konfigurasikan peran untuk peran GitHub OIDC di pusat. Akun AWS

Bootstrap AWS lingkungan di target Akun AWS.

Siapkan lingkungan CDK secara spesifik Akun AWS dan Wilayah AWS yang memungkinkan penyebaran lintas akun dari akun pusat dan menerapkan prinsip hak istimewa paling sedikit ke peran eksekusi. CloudFormation

Untuk bootstrap AWS lingkungan, jalankan perintah berikut:

cdk bootstrap aws://<Target_Account_ID>/<Target_Region> --trust <Central_Account_ID> --cloudformation-execution-policies arn:aws:iam::aws:policy/<Least_Privilege_Policy>

Berikan akses peran Akun AWS OIDC pusat ke peran Akun AWS bootstrap target.

Bootstrap CDK membuat peran IAM berikut yang dirancang untuk diasumsikan oleh pusat Akun AWS selama berbagai tahap proses penyebaran CDK:

Setiap peran memiliki izin khusus yang disesuaikan dengan tujuannya, mengikuti prinsip hak istimewa paling sedikit. Target_Account_IDDan Target_Region di setiap nama peran membantu menunjukkan bahwa peran ini unik di berbagai wilayah Akun AWS dan wilayah. Pendekatan ini mendukung identifikasi dan manajemen yang jelas dalam pengaturan multi-akun, Multi-wilayah.

Target Account CDK Bootstrap Roles
arn:aws:iam::<Target_Account_ID>:role/cdk-deploy-role-<Target_Account_ID>-<Target_Region>
arn:aws:iam::<Target_Account_ID>:role/cdk-file-publishing-role-<Target_Account_ID>-<Target_Region>
arn:aws:iam::<Target_Account_ID>:role/cdk-image-publishing-role-<Target_Account_ID>-<Target_Region>
arn:aws:iam::<Target_Account_ID>:role/cdk-lookup-role-<Target_Account_ID>-<Target_Region>

Untuk memperbarui kebijakan izin untuk peran OIDC di pusat Akun AWS, gunakan kode berikut:

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": [
                "arn:aws:iam::<Target_Account_ID>:role/cdk-deploy-role-<Target_Account_ID>-<Target_Region>",
                "arn:aws:iam::<Target_Account_ID>:role/cdk-file-publishing-role-<Target_Account_ID>-<Target_Region>",
                "arn:aws:iam::<Target_Account_ID>:role/cdk-image-publishing-role-<Target_Account_ID>-<Target_Region>",
                "arn:aws:iam::<Target_Account_ID>:role/cdk-lookup-role-<Target_Account_ID>-<Target_Region>"
            ]
        }
    ]
 }

Kloning repositori proyek.

Untuk mengkloning GitHub repositori pola ini, jalankan perintah berikut:

git clone https://github.com/aws-samples/aws-cdk-golang-serverless-cicd-github-actions.git

Pergi ke jalur Dockerfile.

Untuk menavigasi ke jalur Dockerfile, jalankan perintah berikut:

cd lambda

Otentikasi Docker dengan Amazon ECR.

Amazon ECR memerlukan akses aman ke repositori kontainer pribadi Anda. Dengan masuk dengan cara ini, Anda mengizinkan Docker di mesin atau CI/CD lingkungan lokal Anda untuk berinteraksi dengan Amazon ECR dengan aman.

Untuk mengautentikasi Docker dengan Amazon ECR, jalankan perintah berikut:

aws ecr get-login-password --region <AWS_REGION> | docker login --username AWS --password-stdin <AWS_ACCOUNT_ID>.dkr.ecr.<AWS_REGION>.amazonaws.com

Merevisi placeholder AWS_REGION dan AWS_Account_ID dengan informasi Anda.

membuat gambar Docker.

Untuk membangun image Docker, jalankan perintah berikut:

docker build --platform linux/arm64 -t sample-app .

Tandai dan dorong Gambar Docker.

Untuk menandai dan mendorong image Docker ke repositori Amazon ECR, jalankan perintah berikut:

docker tag sample-app:latest <AWS_ACCOUNT_ID>.dkr.ecr.<AWS_REGION>.amazonaws.com/<ECR_REPOSITORY>:<DOCKER_TAG>

docker push <AWS_ACCOUNT_ID>.dkr.ecr.<AWS_REGION>.amazonaws.com/<ECR_REPOSITORY>:<DOCKER_TAG>

Merevisi placeholderAWS_Account_ID,, AWS_REGIONECR_REPOSITORY, dan DOCKER_TAG dengan informasi Anda.

Sintesis tumpukan CDK dengan variabel khusus lingkungan.

Untuk menghasilkan CloudFormation template untuk infrastruktur Anda seperti yang didefinisikan dalam kode CDK Anda, jalankan perintah berikut:

ENV=<environment> IMAGETAG=<image_tag> ECR_ARN=<ecr_repo_arn> cdk synth

Merevisi placeholder berikut dengan informasi Anda:

Menyebarkan tumpukan CDK.

Untuk menyebarkan tumpukan CDK ke Anda Akun AWS, jalankan perintah berikut. --require-approval neverBendera berarti bahwa CDK akan secara otomatis menyetujui dan mengeksekusi semua perubahan. Ini termasuk perubahan yang biasanya ditandai CDK sebagai membutuhkan tinjauan manual (seperti perubahan kebijakan IAM atau penghapusan sumber daya). Pastikan kode CDK dan CI/CD pipeline Anda telah teruji dengan baik dan aman sebelum menggunakan --require-approval never flag di lingkungan produksi.

ENV=<environment> IMAGETAG=<image_tag> ECR_ARN=<ecr_repo_arn> cdk deploy --require-approval never

Buat cabang fitur, dan tambahkan perubahan Anda.

Gunakan repositori kloning yang Anda buat sebelumnya, buat cabang fitur, lalu tambahkan perubahan Anda ke kode aplikasi. Gunakan salah satu perintah berikut ini:

git checkout -b <feature_branch>
git add .
git commit -m "add your changes"
git push origin <feature_branch>

Berikut ini adalah contoh perubahan:

GitHub Tindakan akan menggunakan alur kerja yang dapat digunakan kembali dan memicu saluran pipa. CI/CD

Gabungkan perubahan Anda.

Buat permintaan tarik, dan gabungkan perubahan Anda ke main.