ecs-deploy

概述

ecs-deploy是一个用于在Amazon EC2容器服务(ECS)上实现自动蓝绿部署的脚本。它通过操作ECS的任务定义(Task Definition)和服务(Service)实体，实现零停机部署，确保新任务正常运行后再替换旧任务。

核心功能与特性

• 支持基于服务或任务定义的部署方式
• 灵活的AWS凭证配置（访问密钥、环境变量、IAM角色、实例配置文件等）
• 自定义部署参数（期望任务数、健康检查百分比、超时时间等）
• 支持更新容器镜像标签，支持多容器任务的标签统一更新
• 任务定义版本管理，可自动清理旧版本
• 部署失败时支持自动回滚
• 支持Fargate启动类型及网络配置
• 详细的部署状态监控与 verbose 输出

使用场景

• ECS服务的日常部署与更新
• 容器镜像版本升级（如从旧标签更新到新标签）
• 多容器任务的统一标签管理
• 需要严格控制部署过程（如健康检查、超时设置）的生产环境
• 自动化CI/CD流程中的ECS部署环节（如与Github Actions集成）

依赖项

• aws-cli：AWS命令行工具
• jq：命令行JSON处理器

使用方法

必要参数

以下参数为部署所必需，部分可通过环境变量设置：

可选参数

示例

简单服务部署（使用环境变量配置AWS参数）

ecs-deploy -c production1 -n doorman-service -i docker.repo.com/doorman:latest

完整参数部署

ecs-deploy -k ABC123 -s SECRETKEY -r us-east-1 -c production1 -n doorman-service -i docker.repo.com/doorman -m 50 -M 100 -t 240 -D 2 -e CI_TIMESTAMP -v

更新任务定义镜像

ecs-deploy -d open-door-task -i docker.repo.com/doorman:17

使用AWS配置文件部署

ecs-deploy -p PROFILE -c production1 -n doorman-service -i docker.repo.com/doorman -t 240 -e CI_TIMESTAMP -v

多容器任务标签更新

ecs-deploy -c staging -n core-service -to 0.1.899 -i ignore

工作原理

1. 拉取任务定义：获取当前服务使用的任务定义JSON（或使用--use-latest-task-def获取最新创建的任务定义）
2. 编辑任务定义：根据指定的镜像参数更新容器镜像标签（支持多容器任务中匹配仓库名的镜像）
3. 创建新版本：注册修改后的任务定义，生成新修订版
4. 更新服务：将服务配置更新为使用新版本任务定义
5. 监控部署状态：查询AWS API，等待服务成功创建新任务并确认部署完成

即使任务定义内容未变更，ECS服务仍会执行蓝绿部署。脚本通过更新容器镜像标签确保部署的差异性，支持静态标签（如latest）或动态标签（如CI构建时间戳）。

AWS IAM策略配置

以下是适用于ecs-deploy的IAM策略示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:DeregisterTaskDefinition",
        "ecs:DescribeServices",
        "ecs:DescribeTaskDefinition",
        "ecs:DescribeTasks",
        "ecs:ListTasks",
        "ecs:ListTaskDefinitions",
        "ecs:RegisterTaskDefinition",
        "ecs:StartTask",
        "ecs:StopTask",
        "ecs:UpdateService",
        "iam:PassRole"
      ],
      "Resource": "*"
    }
  ]
}

故障排除

• AWS凭证错误：若未正确配置AWS凭证，会出现类似"You must specify a region"的错误，需检查环境变量或参数是否正确设置AWS访问密钥、密钥和区域。
• 部署超时：若服务长时间未完成部署，可增加-t（超时时间）参数值，或使用--skip-deployments-check跳过部署检查。
• 镜像拉取失败：确保镜像路径正确且ECS任务执行角色有权限访问镜像仓库。

测试

使用bats进行自动化测试，主要验证本地数据解析和处理逻辑。新功能或PR应尽可能提供测试用例。

Github Actions支持

可集成到Github Actions工作流中，示例配置如下：

deploy_to_ecs:
  name: '通过蓝绿部署将更新的容器镜像部署到ECS服务'
  runs-on: ubuntu-18.04
  steps:
  - uses: silinternational/ecs-deploy@master
    env:
      AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
      AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
      AWS_DEFAULT_REGION: 'us-east-1'
    with:
      aws_access_key_cmd: '--aws-access-key'
      aws_access_key: ${{ secrets.AWS_ACCESS_KEY_ID }}
      aws_secret_key_cmd: '--aws-secret-key'
      aws_secret_key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
      cluster_cmd: '--cluster'
      cluster: 'cluster-name'
      image_cmd: '--image'
      image: '{amazon_id}.dkr.ecr.us-east-1.amazonaws.com/cluster-name/image_name:latest'
      region_cmd: '--region'
      region: 'us-east-1'
      service_name_cmd: '--service-name'
      service_name: 'aws-service-name'
      timeout_cmd: '--timeout'
      timeout: '360'