AWS CodePipeline ECS蓝绿部署报错：打包策略过大，求助解决

以下是针对你遇到的「Packed policy too large」错误的可行解决方案：

• 缩短资源名称
  按照错误提示的建议，精简ECS服务、任务定义、负载均衡目标组等资源的名称。IAM策略会将这些资源的完整ARN拼入，过长的名称会直接增加策略体积。比如把my-ecommerce-web-production-service改成web-prod-svc，任务定义和目标组同理，尽量用简短且有辨识度的命名。

• 自定义CodePipeline服务角色，精简权限
  默认情况下CodePipeline会自动为部署步骤生成包含冗余权限的临时策略。你可以手动创建一个服务角色，只保留ECS蓝绿部署必需的权限，避免不必要的通配符或多余权限。示例精简策略如下：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ecs:UpdateService",
          "ecs:DescribeServices",
          "ecs:DescribeTaskDefinition",
          "elasticloadbalancing:DescribeTargetGroups",
          "elasticloadbalancing:RegisterTargets",
          "elasticloadbalancing:DeregisterTargets",
          "codedeploy:CreateDeployment",
          "codedeploy:GetDeployment",
          "codedeploy:GetDeploymentConfig",
          "cloudwatch:PutMetricAlarm"
        ],
        "Resource": [
          "arn:aws:ecs:你的区域:账号ID:service/集群名/服务名",
          "arn:aws:ecs:你的区域:账号ID:task-definition/任务定义名:*",
          "arn:aws:elasticloadbalancing:你的区域:账号ID:targetgroup/目标组名/*",
          "arn:aws:codedeploy:你的区域:账号ID:deploymentconfig:CodeDeployDefault.ECSAllAtOnce",
          "arn:aws:codedeploy:你的区域:账号ID:deploymentgroup/集群名/部署组名"
        ]
      }
    ]
  }
  

  替换其中的区域、账号ID、集群名等实际值，尽量指定具体资源而非通配符，进一步压缩策略体积。

• 拆分权限到CodeDeploy部署组角色
  蓝绿部署依赖AWS CodeDeploy，你可以为CodeDeploy部署组单独配置服务角色，让它承担ECS、ELB相关的具体操作权限。CodePipeline的角色只保留调用CodeDeploy的权限即可，这样拆分后两个角色的策略都会更小，避免单个策略体积超标。

• 合并容器（已验证的方案）
  如果你之前通过合并容器解决过问题，这依然是有效的方案。将多个容器打包到同一个任务定义中，减少需要授权的资源条目数量。比如把前端静态服务和日志收集容器合并到一个任务里（架构允许的前提下），这样策略里只需要引用一个任务定义和对应的ECS服务，直接降低策略的复杂度和大小。

• 排查隐性资源变更
  即使你没有主动修改配置，也可能存在隐性的资源变化：比如任务定义版本自动累积过多，或者AWS服务更新导致策略生成逻辑变化。清理不必要的旧任务定义版本，检查目标组是否关联了额外资源，确保策略中只包含当前部署所需的资源。

内容的提问来源于stack exchange，提问作者Reza Kajbaf