咨询：frontend/backend发布成功时触发IaC仓库部署的实现方案

方案一：全基于GitHub Actions实现 #

1. 配置IaC仓库的可触发工作流 #

在IaC仓库的.github/workflows/deploy.yml中添加repository_dispatch触发器，同时保留手动触发能力：

name: Deploy IaC
on:
  repository_dispatch:
    types: [deploy_iac]
  workflow_dispatch:

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Setup Node.js
        uses: actions/setup-node@v4
        with:
          node-version: 20
      - name: Install dependencies
        run: npm install
      - name: Deploy with CDK
        run: npx cdk deploy --all --require-approval never
        env:
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}

2. 在前端/后端仓库添加触发步骤 #

在前端、后端的发布工作流文件末尾，添加调用GitHub API触发IaC工作流的步骤（仅当前工作流成功时执行）：

# 原有测试、构建、上传、发布步骤...

- name: Trigger IaC deployment
  if: success()
  run: |
    curl -X POST \
      -H "Authorization: token ${{ secrets.REPO_DISPATCH_TOKEN }}" \
      -H "Accept: application/vnd.github.v3+json" \
      https://api.github.com/repos/<你的用户名>/<iac仓库名>/dispatches \
      -d '{"event_type":"deploy_iac","client_payload":{"source":"frontend", "commit_sha":"${{ github.sha }}"}}'

• 替换<你的用户名>和<iac仓库名>为实际信息
• client_payload可传入来源标识、提交哈希等上下文，供IaC仓库做针对性处理
• 需要在前端/后端仓库的GitHub Secrets中存入拥有repo权限的PAT（命名为REPO_DISPATCH_TOKEN）
• 在IaC仓库的Settings → Actions → General中，设置Workflow权限为"Read and write permissions"

方案二：结合AWS CodeBuild实现 #

1. 创建并配置CodeBuild项目 #

创建关联IaC仓库的CodeBuild项目，配置CDK部署所需的环境（如Node.js）和IAM权限，设置触发方式为CloudWatch Events。

2. 在前端/后端工作流中触发CodeBuild #

在前端、后端的发布工作流末尾添加触发CodeBuild的步骤：

- name: Trigger CodeBuild IaC deployment
  if: success()
  run: |
    aws codebuild start-build --project-name <你的CodeBuild项目名>
  env:
    AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
    AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
    AWS_REGION: <你的AWS区域>

替代触发方式：用云服务事件自动触发 #

无需GitHub Actions介入，直接通过AWS原生事件触发：

• 前端S3桶：配置事件通知，当发布文件上传完成时，发送事件到CloudWatch Events，触发CodeBuild
• 后端ECR仓库：配置事件通知，当新镜像推送完成时，触发CloudWatch Events启动CodeBuild项目

方案对比 #

• 全GitHub Actions方案：流程统一在GitHub生态内，无需额外AWS服务配置，适合熟悉GitHub Actions的团队
• AWS CodeBuild方案：利用AWS原生事件链，减少对GitHub API依赖，权限可通过IAM统一管控，适合已使用AWS DevOps工具链的场景

内容的提问来源于stack exchange，提问作者joyfuljoy