使用GitHub Actions和AWS CDK的持续交付实用指南
内容提要
本文探讨如何通过AWS和GitHub Actions实现基础设施的持续交付。使用AWS CDK定义基础设施代码，配置OIDC以安全获取AWS凭证，并创建IAM角色供GitHub Actions使用。通过设置GitHub环境，管理不同环境的部署和审批流程，确保安全与灵活性。
延伸解读
OIDC的安全优势
使用OIDC获取AWS凭证相比传统的访问密钥具有显著的安全优势。OIDC提供的临时凭证有效期短，降低了凭证泄露的风险。此外，OIDC允许根据具体的GitHub仓库或分支限制权限，确保只有经过授权的操作才能访问AWS资源。
环境管理的重要性
在持续交付过程中，合理管理不同的环境（如开发、测试和生产）至关重要。通过GitHub环境功能，可以为每个环境配置独立的设置和秘密，并实施审批流程，确保在部署到生产环境前经过必要的审核，降低潜在风险。
IAM角色的灵活性
创建IAM角色时，可以根据具体需求配置权限和会话持续时间。这种灵活性使得在不同的工作流中可以使用不同的角色，确保每个操作仅拥有执行所需的最小权限，从而增强了整体安全性和管理效率。
Q&A
如何使用AWS CDK定义基础设施代码？
使用AWS CDK可以通过TypeScript定义基础设施代码，首先初始化CDK应用，然后在代码中定义所需的资源，如S3桶。
为什么推荐使用OIDC获取AWS凭证而不是长期访问密钥？
OIDC提供临时凭证，降低了安全风险和管理成本，避免了长期凭证的管理和轮换问题。
如何在GitHub Actions中配置AWS凭证？
可以使用aws-actions/configure-aws-credentials动作，并指定IAM角色ARN和AWS区域，以便GitHub Actions能够使用AWS CLI。
如何在GitHub中管理不同环境的部署？
通过设置GitHub环境，可以为每个环境定义配置和秘密，并实现审批流程，确保安全性。
如何创建GitHub OIDC提供者以支持AWS联合身份验证？
在CDK中使用OpenIdConnectProvider创建GitHub OIDC提供者，指定GitHub的OIDC令牌端点和相关参数。
如何扩展AWS会话的持续时间以适应长时间的部署工作流？
可以在IAM角色的配置中设置maxSessionDuration属性，以延长会话的有效时间，例如设置为2小时。
