AWS之Gitlab增量配置

前置：完成gitlab搭建及配置

https://blog.csdn.net/weixin_45342351/article/details/155058995?spm=1001.2014.3001.5502

当在GitLab A 分支向 B 分支发起 Merge Request（MR）时，如果 CodeBuild 构建失败，能否自动阻止合并，并在 GitLab MR 页面给出明确提示？

✅ 答案是：可以！但需要额外集成 ------ 通过 GitLab 的 "Status API" 或 "Merge Request Approvals" 实现。

AWS CodePipeline/CodeBuild 本身不会自动回写状态到 GitLab ，但你可以通过 Lambda + GitLab API 在构建失败时 设置 MR 状态为 ❌ 并阻止合并。

🧩 整体方案架构

复制代码

graph LR
  A[GitLab MR: A → B] -->|Webhook| B(CodePipeline)
  B --> C(CodeBuild)
  C -->|Success| D[Lambda: Post ✅ to GitLab]
  C -->|Failure| E[Lambda: Post ❌ to GitLab]
  D --> F[GitLab MR: 允许合并]
  E --> G[GitLab MR: 阻止合并 + 显示错误]

🔑 核心机制 ：利用 GitLab 的 Commit Status API 或 Merge Request Status，将 CI 结果反馈给 MR 页面。

✅ 实现步骤（生产级方案）

步骤 1️⃣：在 GitLab 启用 "Status Checks"（推荐）

前提：

GitLab 版本 ≥ 13.0 （支持 Required Status Checks）
项目设置中启用 "Pipelines must succeed"

操作：

进入 GitLab 项目 → Settings → General → Merge request approvals
勾选：
- ✅ Pipelines must succeed
- ✅ All discussions must be resolved
（可选）在 Settings → CI/CD → General pipelines 中设置：
- Status checks → 添加自定义检查名（如 aws-codebuild）

💡 此时，只要 任何 pipeline 报告失败，MR 就无法合并。

步骤 2️⃣：让 CodeBuild 构建结果上报到 GitLab

CodeBuild 默认不通知 GitLab，需通过 EventBridge + Lambda 实现回调。

架构：

复制代码

CodeBuild (失败/成功) 
   → EventBridge Rule 
   → Lambda (调用 GitLab API) 
   → 更新 Commit Status

步骤 3️⃣：创建 Lambda 函数（上报状态）

Lambda 代码（Python）：

复制代码

import json
import os
import requests
import boto3

GITLAB_TOKEN = os.environ['GITLAB_TOKEN']
GITLAB_PROJECT_ID = os.environ['GITLAB_PROJECT_ID']

def lambda_handler(event, context):
    # 从 EventBridge 获取构建信息
    detail = event['detail']
    build_id = detail['build-id']
    status = detail['build-status']  # SUCCEEDED / FAILED
    
    # 获取构建详情（含源码 commit ID）
    cb = boto3.client('codebuild')
    response = cb.batch_get_builds(ids=[build_id])
    build = response['builds'][0]
    commit_id = build['sourceVersion']  # Git commit SHA
    
    # 映射状态
    state = 'success' if status == 'SUCCEEDED' else 'failed'
    description = 'Build passed' if state == 'success' else 'Build failed in AWS CodeBuild'
    
    # 调用 GitLab Commit Status API
    url = f"https://gitlab.com/api/v4/projects/{GITLAB_PROJECT_ID}/statuses/{commit_id}"
    headers = {"PRIVATE-TOKEN": GITLAB_TOKEN}
    data = {
        "state": state,
        "target_url": f"https://console.aws.amazon.com/codebuild/home?region=us-east-1#/builds/{build_id}",
        "description": description,
        "name": "aws-codebuild"  # 必须与 GitLab Status Checks 中的名字一致
    }
    
    resp = requests.post(url, headers=headers, json=data)
    return {'statusCode': resp.status_code}

步骤 4️⃣：配置 EventBridge 规则

打开 Amazon EventBridge
创建规则：
- Event source: AWS Services
- Service: CodeBuild
- Event type: CodeBuild Build State Change
- Specific state(s) : BUILD_SUCCEEDED, BUILD_FAILED
目标：选择你刚创建的 Lambda

步骤 5️⃣：在 Secrets Manager 存储 GitLab Token（安全！）

复制代码

aws secretsmanager create-secret \
  --name gitlab-ci-token \
  --secret-string '{"token":"glpat-xxxxxx"}'

然后在 Lambda 的执行角色中添加权限，并通过环境变量注入。

🖼 效果：GitLab MR 页面显示

当 MR 触发 CodeBuild 后：

✅ 成功时：

MR 页面显示绿色 ✅ aws-codebuild passed
"Merge" 按钮可用

❌ 失败时：

MR 页面显示红色 ❌ aws-codebuild failed
"Merge" 按钮 灰色不可点（因启用了 "Pipelines must succeed"）
点击状态可跳转到 CodeBuild 控制台查看日志

🎯 用户体验：与 GitHub Actions / GitLab CI 原生体验一致！

🔒 安全与权限

组件	权限要求
GitLab Token	`api` scope（或仅 `write_repository` + `read_api`）
Lambda IAM Role	`secretsmanager:GetSecretValue`, `codebuild:BatchGetBuilds`
EventBridge	无需额外权限

⚠️ 不要使用管理员 Token！ 创建专用机器人账号（如 aws-ci-bot），仅授予必要权限。

🔄 替代方案：使用 GitLab Webhook + 自定义 Pipeline（不推荐）

你也可以在 GitLab 中配置 Webhook 到自建服务，由该服务触发 CodePipeline 并轮询结果。但：

更复杂
需要维护额外服务
不如上述方案可靠

✅ 总结：如何实现"CodeBuild 失败阻止 MR 合并"

步骤	操作
1️⃣	GitLab 项目启用 "Pipelines must succeed"
2️⃣	CodeBuild 构建完成后，通过 EventBridge → Lambda 上报状态
3️⃣	Lambda 调用 GitLab Commit Status API 设置 ✅/❌
4️⃣	GitLab 自动阻止失败 MR 的合并

💡 优势：

完全自动化，无需人工干预

开发者在 MR 页面直接看到失败原因

符合 GitOps 质量门禁最佳实践

🎁 附：快速验证清单

GitLab 项目已开启 "Pipelines must succeed"
创建了具有 api 权限的 GitLab Personal Access Token
Lambda 能成功调用 POST /projects/:id/statuses/:sha
EventBridge 规则捕获 CodeBuild 状态变更
MR 页面显示 aws-codebuild 状态