如何通过AWS CDK配置CodePipeline实现Lambda自动更新？

问题场景 #

我正尝试通过AWS CDK搭建托管在GitHub上的Pipeline，期望每次代码更新时自动用新构建包更新Lambda函数。当前已完成Source和CodeBuild阶段的CDK代码，但找不到合适的Pipeline Action实现Lambda更新。考虑过在buildspec.yml中用AWS CLI手动执行更新，但不确定这是否是正确的实现方式。

当前CDK代码如下：

// the buildspec will be in the repo
const project = new codebuild.PipelineProject(this, "CahmCodeBuild", {
  buildSpec: codebuild.BuildSpec.fromSourceFilename("buildspec.yml"),
  environment: {
    buildImage: codebuild.LinuxBuildImage.STANDARD_6_0,
  },
});

// Create the new pipeline
const deployPipeline = new pipeline.Pipeline(
  this,
  "LambdaPipeline",
  {
    pipelineName: "lambda-pipeline-name",
    crossAccountKeys: false,
    artifactBucket,
  }
);

// define the artifact
const sourceOutput = new pipeline.Artifact();

// github connection setup
const sourceAction = new actions.GitHubSourceAction({
  actionName: "GitHub_Source",
  owner: "my-name",
  repo: "my-repo",
  oauthToken: cdk.SecretValue.secretsManager("my_secret"),
  output: sourceOutput,
  branch: "master", // default: 'master'
});

// codebuild setup
const buildAction = new actions.CodeBuildAction({
  actionName: "CodeBuild",
  project,
  input: sourceOutput,
});

// putting everything together!
deployPipeline.addStage({
  stageName: "Source",
  actions: [sourceAction],
});

deployPipeline.addStage({
  stageName: "BuildDeploy",
  actions: [buildAction],
});

解决方案分析 #

1. 基于AWS CLI的CodeBuild更新方式（可行但非最优） #

你提到的在buildspec.yml中用AWS CLI执行aws lambda update-function-code的方式可以正常工作，适合简单场景，但存在几个明显缺点：

• 操作脱离CDK的基础设施即代码管控，更新逻辑散落在构建脚本中，不利于长期维护
• 需要手动配置CodeBuild执行角色的lambda:UpdateFunctionCode权限
• 缺乏Pipeline原生的部署回滚、状态跟踪能力

示例buildspec.yml内容：

version: 0.2
phases:
  install:
    runtime-versions:
      nodejs: 16
  build:
    commands:
      # 打包Lambda代码（以Node.js项目为例）
      - npm install
      - zip -r lambda-package.zip .
      # 更新Lambda函数
      - aws lambda update-function-code --function-name YOUR_LAMBDA_NAME --zip-file fileb://lambda-package.zip
artifacts:
  files:
    - lambda-package.zip

注意：需要给CodeBuild的执行角色添加以下权限：

{
  "Effect": "Allow",
  "Action": "lambda:UpdateFunctionCode",
  "Resource": "arn:aws:lambda:REGION:ACCOUNT_ID:function:YOUR_LAMBDA_NAME"
}

2. 基于CloudFormation的Pipeline部署（推荐的CDK最佳实践） #

更符合CDK设计理念的方式是将Lambda定义在CDK栈中，通过Pipeline的CloudFormation部署阶段更新整个栈，Lambda的代码包更新会自动触发。具体步骤如下：

步骤1：调整CodeBuild输出构建产物

修改buildspec.yml，将打包后的代码包作为输出 artifact：

version: 0.2
phases:
  install:
    runtime-versions:
      nodejs: 16
  build:
    commands:
      - npm install
      - zip -r lambda-package.zip .
artifacts:
  files:
    - lambda-package.zip

步骤2：修改CDK代码，添加Deploy阶段

首先确保你的Lambda栈代码中，函数的代码包指向构建产物的S3位置（通过Pipeline的artifact传递），然后在Pipeline中添加CloudFormation部署动作：

// 定义构建输出的artifact
const buildOutput = new pipeline.Artifact();

// 修改CodeBuild Action，指定输出
const buildAction = new actions.CodeBuildAction({
  actionName: "CodeBuild",
  project,
  input: sourceOutput,
  outputs: [buildOutput], // 添加输出
});

// 假设你的Lambda栈已定义（比如单独的LambdaStack类）
const lambdaStack = new LambdaStack(this, "LambdaStack");

// 添加Deploy阶段
deployPipeline.addStage({
  stageName: "Deploy",
  actions: [
    new actions.CloudFormationDeployAction({
      actionName: "DeployLambdaStack",
      stackName: lambdaStack.stackName,
      templatePath: lambdaStack.templateFile,
      deploymentRole: cdk.Role.fromRoleArn(this, "DeployRole", "arn:aws:iam::ACCOUNT_ID:role/CloudFormationDeploymentRole"),
      // 传递构建产物路径到CloudFormation
      parameterOverrides: {
        LambdaCodePackageS3Path: buildOutput.s3Location,
      },
      extraInputs: [buildOutput],
    }),
  ],
});

步骤3：在Lambda栈中引用构建产物

在定义Lambda函数时，从Pipeline传递的参数中获取代码包的S3路径：

class LambdaStack extends cdk.Stack {
  constructor(scope, id, props) {
    super(scope, id, props);

    const lambdaCode = lambda.Code.fromBucket(
      cdk.Bucket.fromBucketName(this, "ArtifactBucket", "YOUR_ARTIFACT_BUCKET_NAME"),
      this.node.tryGetContext("LambdaCodePackageS3Path")
    );

    new lambda.Function(this, "MyLambda", {
      runtime: lambda.Runtime.NODEJS_16_X,
      handler: "index.handler",
      code: lambdaCode,
    });
  }
}

这种方式的优势：

• 完全基于基础设施即代码，更新逻辑统一在CDK中维护
• 自动获得CloudFormation的部署回滚、状态监控能力
• 权限管理通过CDK自动配置，无需手动调整角色

内容的提问来源于stack exchange，提问作者Dan Ruxton