如何为AWS Image Builder管道输出的镜像打标签以纳入生命周期策略

问题背景 #

AWS Image Builder的生命周期策略可依据规则自动弃用、禁用并删除镜像及关联的AMI、快照，以此维持镜像列表时效性并降低存储成本。生命周期策略支持通过镜像配方版本或镜像标签来划定管理范围，但在多管道且配方版本频繁变更的场景下，标签管理显然更灵活便捷。

当前遇到的问题：

• 无法通过AWS控制台为Image Builder输出的镜像打标签，仅能使用CLI操作
• 镜像管道按计划运行时，仅能配置为生成的AMI和快照打标签，无法直接为输出的镜像本身添加标签

最简单的自动化解决方案：EventBridge + Lambda #

利用AWS原生服务组合，实现镜像创建完成后自动打标签，无需额外运维成本：

1. 创建Lambda函数 #

编写Python函数，监听镜像创建成功事件，调用Image Builder API为镜像添加标签：

import boto3

imagebuilder = boto3.client('imagebuilder')

def lambda_handler(event, context):
    # 从EventBridge事件中提取镜像ARN
    image_arn = event['detail']['imageBuildVersionArn']
    
    # 为镜像添加指定标签，可根据需求修改键值对
    response = imagebuilder.tag_resource(
        resourceArn=image_arn,
        tags={
            'Lifecycle-Managed': 'true',
            'Pipeline-Name': event['detail']['pipelineName']
        }
    )
    print(f"Successfully tagged image {image_arn}: {response}")
    return response

• 为Lambda的IAM角色添加imagebuilder:TagResource权限，确保函数能调用打标签API

2. 创建EventBridge规则 #

配置规则捕获Image Builder镜像创建成功的事件，并触发Lambda函数：

• 事件源：选择「AWS服务」，服务名称为「Image Builder」，事件类型为「Image Builder Image State Change」
• 事件模式：设置detail.state为AVAILABLE，确保只处理创建完成的可用镜像
• 目标：选择刚才创建的Lambda函数

3. 验证 #

手动触发一次镜像管道运行，待镜像状态变为AVAILABLE后，通过CLI命令aws imagebuilder list-tags-for-resource --resource-arn <镜像ARN>确认标签已成功添加，后续生命周期策略即可通过这些标签识别并管理镜像。

补充：批量处理现有镜像 #

如果需要为已存在的镜像批量打标签，可使用CLI循环处理：

# 获取所有符合条件的镜像ARN
aws imagebuilder list-images --filters name=state,values=AVAILABLE --query 'imageVersionList[*].imageBuildVersionArn' --output text | \
while read arn; do
  # 为每个镜像添加标签
  aws imagebuilder tag-resource --resource-arn $arn --tags Lifecycle-Managed=true
done

内容的提问来源于stack exchange，提问作者shonky linux user