如何从GitHub Actions访问AWS VPC网络以开展E2E测试？

方案一：按需使用AWS官方GitHub Actions #

• 优势：配置轻量，无需额外网络改造，直接通过AWS官方提供的Action完成权限认证和资源访问
  • 核心用aws-actions/configure-aws-credentials通过OIDC获取AWS临时凭证，之后就能直接用AWS SDK或CLI访问各类资源——比如RDS开启IAM认证后，无需暴露密码，用临时凭证生成认证token即可连接；IAM资源则可直接通过API调用操作
  • 每个依赖的访问逻辑都有官方Action或成熟工具支撑，学习成本低
• 局限性：仅适用于有公网访问权限的AWS资源，如果你的数据库、内部服务都在VPC私有子网里，这种方式无法直接触达

方案二：安全打通至AWS VPC #

如果所有核心依赖都在VPC私有网络内，更推荐直接实现GHA与VPC的网络连通，一次配置覆盖所有资源访问，常用两种方式：

• VPC端点+GitHub OIDC：
  • 在AWS中配置GitHub作为OIDC身份提供商，让GHA runner能通过OIDC获取临时凭证，再通过VPC端点（比如RDS、IAM的专属端点）访问私有资源，全程流量不经过公网，安全性拉满
• 自托管Runner部署在VPC内：
  • 在AWS VPC的私有子网中部署自托管GitHub Runner，runner本身就在VPC网络里，直接就能访问所有内网资源，不需要额外的网络打通配置
  • 注意给runner绑定最小权限的IAM角色，同时做好runner的安全维护（比如定期更新镜像、限制访问IP）

选型建议 #

• 若大部分AWS资源允许公网访问（且通过IAM认证、安全组等方式做了安全限制），优先选方案一，配置简单、维护成本低
• 若核心依赖都在私有子网，或需要频繁访问多个VPC内资源，方案二更高效，避免逐个配置依赖的访问规则

内容的提问来源于stack exchange，提问作者James Cathcart