Peta dunia

 

EN

Dunia A4: Container di Cloud

Deploy dari GitHub Actions dengan OIDC

Anda akan belajar: push image Kedai Kancil ke ECR dan lancarkannya di ECS dari GitHub Actions, tanpa kunci AWS yang disimpan.

Teks BM belum disemak oleh penutur asli.

Disemak dengan AWS 2026-11 pada 1 Nov 2026

Masalahnya

Workflow anda mesti push image baru ke ECR dan kemas kini service ECS. Ia perlukan kunci AWS. Yang mana?

Tengok

Inilah OIDC (OpenID Connect): Runner tunjuk pas pelawat untuk satu job. Cloud semak pas itu dan pinjamkan kunci yang luput bila job tamat., seperti dalam Dunia CI/CD C3, kini dihalakan ke AWS. Susun satu deploy.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

  • AWS semak repo dan environment
  • AWS pinjamkan kunci role jangka pendek
  • Job minta ID token dari GitHub
  • Job push image ke ECR
  • ECS lancarkan task baru

Tengok

Trust policy role itu sebut lencana mana yang ia terima. Ketik baris yang benarkan satu repo dan satu environment sahaja.

Ketik baris yang hadkan siapa boleh pinjam role.

0 daripada 1 dijumpai

Cuba

Bina workflow deploy. Tiada kunci disimpan.

Tekan blok untuk tambah. Susun ikut urutan.

Blok

Workflow anda

Tekan satu blok di atas untuk mula.

Fail workflow .github/workflows/

name: Deploy to ECS

Apa yang berjalan

Belum ada apa untuk dijalankan.

Teka

Seseorang push ke branch ujian tanpa environment production. Job mereka minta role itu. Apa jadi?

Semak

Role deploy boleh kemas kini service. Kini satu run cuba padamnya. Adakah AWS benarkan?

Baca permintaan dan policy-nya. AWS akan kata Allow atau Deny?

Permintaan

Siapa
kedai-deploy (sesi role)arn:aws:sts::111122223333:assumed-role/kedai-deploy/run-7
Mahu buat
ecs:DeleteService
Pada
arn:aws:ecs:ap-southeast-5:111122223333:service/kedai/shop
Identity policy (gugusan kunci) · deploy-shop
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": ["ecs:UpdateService", "ecs:DescribeServices"],
"Resource": "arn:aws:ecs:ap-southeast-5:111122223333:service/kedai/shop"
}
]
}
Tekaan anda:

Anda berjaya!

Kini anda boleh deploy Kedai Kancil ke ECS dari GitHub Actions, tanpa kunci AWS disimpan.

Nak tahu lebih (pilihan)

Role penuh juga perlukan hak push ECR, ecs:RegisterTaskDefinition dan iam:PassRole untuk role task. Panduan GitHub pin langkah ECS kepada commit tepat, seperti di sini. Repo baru mungkin guna format subject lain. Salin yang tepat dari dokumen OIDC GitHub.