GitHub Actions打包容器,推送 AWS ECR 并使 EKS 自动拉取以完成发版部署

MetaverseMan2025-07-28 20:55

以下是关于 EKS 直接拉取 ECR 镜像的解答，以及如何通过 GitHub Actions 将项目打包为容器、推送至 AWS ECR 并使 EKS 自动拉取以完成发版部署的详细步骤。当前时间为 2025 年 7 月 23 日下午 12:27 HKT，基于最新技术实践提供方案。

1. EKS 直接拉取 ECR 镜像吗？

  • 答案：是的，EKS 可以直接拉取 ECR 镜像，但需要满足以下条件：

    • IAM 权限 ：EKS 集群的节点（Worker Nodes）需关联一个 IAM 角色，拥有 AmazonEC2ContainerRegistryReadOnly 权限，以便从 ECR 拉取镜像。
    • 配置正确 ：在 Kubernetes Pod 的 spec.containers.image 字段中指定 ECR 镜像路径（例如 account-id.dkr.ecr.region.amazonaws.com/repository:tag）。
    • 网络访问：EKS 集群需能访问 ECR（通常通过 VPC 配置或公网访问）。
    • 默认行为：EKS 的 kubelet 会自动尝试拉取指定的镜像，无需额外工具，但拉取过程依赖节点的网络和权限设置。

  • 验证方法：

    • 使用 kubectl describe pod <pod-name> 检查事件日志，确认拉取成功或失败（例如 "ImagePullBackOff" 表示权限或网络问题）。

2. 通过 GitHub Actions 打包容器、推送至 ECR 并部署到 EKS 的步骤

准备工作
  • AWS 配置 ：
    • 创建 ECR 仓库（例如 my-app），记录仓库 URL（account-id.dkr.ecr.region.amazonaws.com/my-app）。
    • 设置 EKS 集群（例如 my-eks-cluster），并通过 aws eks update-kubeconfig --region region --name my-eks-cluster 获取 kubeconfig。
    • 创建 IAM 角色并附加到 EKS 节点组，包含 AmazonEC2ContainerRegistryReadOnly 权限。
    • 在 GitHub 仓库的 Settings > Secrets and variables > Actions 中添加：
      • AWS_ACCESS_KEY_ID
      • AWS_SECRET_ACCESS_KEY
      • AWS_REGION（例如 us-east-1）
      • ECR_REPOSITORY（例如 my-app）
      • KUBE_CONFIG_DATA（将 kubeconfig 转为 Base64 编码，例如 cat ~/.kube/config | base64）。
  • 项目配置 ：
    • 根目录下创建 Dockerfile（示例见下）。
    • 创建 Kubernetes 部署文件 deployment.yaml（示例见下）。
Dockerfile 示例
复制代码 
# 使用官方 Node.js 镜像作为基础
FROM node:18-alpine

# 设置工作目录
WORKDIR /app

# 复制 package.json 和 package-lock.json
COPY package*.json ./

# 安装依赖
RUN npm install

# 复制项目文件
COPY . .

# 构建应用
RUN npm run build

# 暴露端口
EXPOSE 3000

# 启动命令
CMD ["node", "dist/index.js"]
Kubernetes 部署文件（deployment.yaml）
复制代码 
apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
spec:
  replicas: 2
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
      - name: my-app
        image: <account-id>.dkr.ecr.<region>.amazonaws.com/my-app:latest
        ports:
        - containerPort: 3000
        resources:
          requests:
            memory: "256Mi"
            cpu: "200m"
          limits:
            memory: "512Mi"
            cpu: "500m"
---
apiVersion: v1
kind: Service
metadata:
  name: my-app-service
spec:
  selector:
    app: my-app
  ports:
    - protocol: TCP
      port: 80
      targetPort: 3000
  type: LoadBalancer
GitHub Actions 工作流（.github/workflows/deploy.yml）
复制代码 
name: Deploy to EKS

on:
  push:
    branches:
      - main

jobs:
  deploy:
    name: Build and Deploy
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v4

      - name: Set up Docker Buildx
        uses: docker/setup-buildx-action@v3

      - name: Configure AWS credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
          aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
          aws-region: ${{ secrets.AWS_REGION }}

      - name: Login to Amazon ECR
        id: login-ecr
        uses: aws-actions/amazon-ecr-login@v2

      - name: Build, tag, and push image to Amazon ECR
        id: build-image
        env:
          ECR_REGISTRY: ${{ steps.login-ecr.outputs.registry }}
          ECR_REPOSITORY: ${{ secrets.ECR_REPOSITORY }}
          IMAGE_TAG: ${{ github.sha }}
        run: |
          docker build -t $ECR_REGISTRY/$ECR_REPOSITORY:$IMAGE_TAG .
          docker push $ECR_REGISTRY/$ECR_REPOSITORY:$IMAGE_TAG
          echo "image=$ECR_REGISTRY/$ECR_REPOSITORY:$IMAGE_TAG" >> $GITHUB_OUTPUT

      - name: Update kubeconfig
        run: |
          echo "${{ secrets.KUBE_CONFIG_DATA }}" | base64 -d > kubeconfig
          export KUBECONFIG=kubeconfig

      - name: Deploy to EKS
        uses: kodermax/kubectl-aws-eks@main
        with:
          args: set image deployment/my-app my-app=${{ steps.build-image.outputs.image }} --record
        env:
          KUBE_CONFIG_DATA: ${{ secrets.KUBE_CONFIG_DATA }}

      - name: Verify deployment
        uses: kodermax/kubectl-aws-eks@main
        with:
          args: rollout status deployment/my-app
        env:
          KUBE_CONFIG_DATA: ${{ secrets.KUBE_CONFIG_DATA }}

      - name: Cleanup
        if: always()
        run: |
          rm -f kubeconfig
实现流程
  1. 触发工作流 ：
    • 推送到 main 分支时，GitHub Actions 自动运行。
  2. 构建与推送 ：
    • 配置 AWS 凭证，登录 ECR。
    • 使用 Docker Buildx 构建镜像，打上 Git 提交哈希标签（${``{ github.sha }}），推送到 ECR。
  3. 部署到 EKS ：
    • 解码 kubeconfig，更新 Deployment 中的镜像标签。
    • 使用 kubectl 应用更改，EKS 节点自动拉取新镜像。
  4. 验证与清理 ：
    • 检查部署状态，确保 Pod 运行。
    • 清理临时文件。
EKS 自动拉取镜像
  • EKS 的 kubelet 会在 Pod 启动时自动拉取 deployment.yaml 中指定的镜像（例如 account-id.dkr.ecr.us-east-1.amazonaws.com/my-app:sha256...）。
  • 如果镜像未找到或权限不足，Pod 状态将显示 ImagePullBackOff，需检查 IAM 角色和网络配置。
注意事项
  • IAM 角色：确保 EKS 节点组的 IAM 角色有 ECR 读取权限。
  • 镜像标签 ：使用动态标签（${``{ github.sha }}）避免缓存问题，生产环境可加环境标识（如 prod-${``{ github.sha }}）。
  • 网络：若 EKS 在私有 VPC，配置 VPC Endpoint 或 NAT Gateway 访问 ECR。
  • 安全：使用 GitHub OIDC 替代长期凭证，提升安全性。
  • 测试 ：初次部署后，使用 kubectl get pods 和 kubectl logs 验证。
验证部署
  • 推代码后，检查 GitHub Actions 日志。
  • 使用 kubectl get deployments 确认 my-app 更新。
  • 通过 Service 的外部 IP（kubectl get svc my-app-service）访问应用。

此方案实现了从代码提交到 EKS 自动部署的全流程，适合中小型项目。如需多环境或回滚支持，可扩展工作流逻辑。

优化改进版action.yml

bash 复制代码 
name: Deploy to EKS

on:
  push:
    branches:
      - main
      - dev

jobs:
  deploy:
    name: Build and Deploy
    runs-on: ubuntu-latest
    env:
      ENVIRONMENT: ${{ github.ref == 'refs/heads/main' && 'prod' || 'dev' }}
      IMAGE_TAG: ${{ github.ref == 'refs/heads/main' && format('prod-{0}', github.sha) || format('dev-{0}', github.sha) }}
    steps:
      - name: Checkout code
        uses: actions/checkout@v4

      - name: Set up Docker Buildx
        uses: docker/setup-buildx-action@v3

      - name: Configure AWS credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
          aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
          aws-region: ${{ secrets.AWS_REGION }}

      - name: Login to Amazon ECR
        id: login-ecr
        uses: aws-actions/amazon-ecr-login@v2

      - name: Build, tag, and push image to Amazon ECR
        id: build-image
        env:
          ECR_REGISTRY: ${{ steps.login-ecr.outputs.registry }}
          ECR_REPOSITORY: ${{ secrets.ECR_REPOSITORY }}
        run: |
          docker build -t $ECR_REGISTRY/$ECR_REPOSITORY:$IMAGE_TAG .
          docker push $ECR_REGISTRY/$ECR_REPOSITORY:$IMAGE_TAG
          echo "image=$ECR_REGISTRY/$ECR_REPOSITORY:$IMAGE_TAG" >> $GITHUB_OUTPUT

      - name: Update kubeconfig
        run: |
          echo "${{ secrets.KUBE_CONFIG_DATA }}" | base64 -d > kubeconfig
          export KUBECONFIG=kubeconfig

      - name: Deploy to EKS
        uses: kodermax/kubectl-aws-eks@main
        with:
          args: set image deployment/my-app my-app=${{ steps.build-image.outputs.image }} --record
        env:
          KUBE_CONFIG_DATA: ${{ secrets.KUBE_CONFIG_DATA }}

      - name: Verify deployment
        run: |
          kubectl rollout status deployment/my-app --timeout=5m
        env:
          KUBE_CONFIG_DATA: ${{ secrets.KUBE_CONFIG_DATA }}
        timeout-minutes: 5

      - name: Rollback on failure
        if: failure()
        run: |
          kubectl rollout undo deployment/my-app
        env:
          KUBE_CONFIG_DATA: ${{ secrets.KUBE_CONFIG_DATA }}

      - name: Cleanup
        if: always()
        run: |
          rm -f kubeconfig

      - name: Notify deployment status
        if: always()
        run: |
          echo "Deployment to ${ENVIRONMENT} completed with status ${{ job.status }}"
          # 可选：集成 Slack 或邮件通知
          # curl -X POST -H 'Content-type: application/json' --data '{"text":"Deployment to ${ENVIRONMENT} ${{ job.status }}"}' https://hooks.slack.com/services/xxx
相关推荐
JiL 奥7 小时前
Ubuntu系统安装AWS SAM
云计算·aws
liyuanchao_blog7 小时前
linuxptp适配记录
linux·云计算
YongCheng_Liang8 小时前
从零开始学虚拟化：性能优化全指南（资源分配 + 存储网络 + 监控）
运维·云计算
YongCheng_Liang9 小时前
从零开始学虚拟化：高可用与灾备技术全解析（集群 + 备份 + 异地灾备）
运维·云计算
珠海西格20 小时前
“主动预防” vs “事后补救”：分布式光伏防逆流技术的代际革命，西格电力给出标准答案
大数据·运维·服务器·分布式·云计算·能源
xianyinsuifeng1 天前
RAG + Code Analysis 的标准路线
数据仓库·自动化·云计算·原型模式·aws
Genie cloud1 天前
在 Mac 上使用 Docker 安装宝塔并部署 LNMP 环境
macos·docker·容器·云计算
php_kevlin1 天前
阿里云AI接口接口
阿里云·云计算
万博智云OneProCloud1 天前
CloudEndure 退出中国市场之后，AWS 容灾该走向哪里？
云计算·aws
翼龙云_cloud1 天前
亚马逊云渠道商：如何从本地环境安全访问AWS云数据库RDS？
数据库·云计算·aws
热门推荐
01GitHub 镜像站点02Clawdbot 中文汉化版 接入微信、飞书03OpenCode 入门教程：介绍 · 安装 · 配置第三方 API (如 Claude)042026美赛A题智能手机电池续航时间预测的连续时间数学模型052025 年大语言模型发展回顾：关键突破、意外转折与 2026 年展望06【Milvus】向量数据库pymilvus使用教程072026数学建模美赛题目特点与选题建议，常用四大模型汇总08Claude Code + GLM4.7 避坑指南：解决 Unable to connect to Anthropic services09Claude Code Skills 实用使用手册10Linux下V2Ray安装配置指南