更新GitHub令牌后为何需重新部署AWS CDK创建的CodePipeline？

问题描述 #

我用AWS CDK创建并部署了基于AWS CodePipeline的流水线，近期Source阶段突然报错权限不足，提示：

"Could not access the GitHub repository: "pandaWebsite". The access token might be invalid or has been revoked. Edit the pipeline to reconnect with GitHub."

经查是GitHub令牌过期，我重新生成令牌并更新到AWS Secrets Manager后，点击流水线「重试」按钮依然失败，最终只能执行cdk destroy销毁流水线，再用cdk deploy重新部署才恢复正常。我的疑问是：为什么必须销毁重建？原本以为更新Secrets Manager里的令牌就能正常工作。

补充：GitHub令牌存储在AWS Secrets Manager中，CDK代码通过以下方式获取令牌：

// Add Source stage to fetch code from GitHub repository.
private addSourceStage(
  pipeline: codepipeline.Pipeline,
  sourceCode: codepipeline.Artifact
) {
  pipeline.addStage({
    stageName: "Source",
    actions: [
      new codepipeline_actions.GitHubSourceAction({
        actionName: "Checkout",
        owner: "yangliu",
        repo: "pandaWebsite",
        branch: "main",
        // read the value from Secrets Manager
        oauthToken: CDK.SecretValue.secretsManager(
          "github-token"
        ),
        output: sourceCode,
        trigger: codepipeline_actions.GitHubTrigger.WEBHOOK,
      }),
    ],
  });
}

核心原因 #

• 令牌值被固化到CodePipeline配置：使用SecretValue.secretsManager时，CDK仅在部署阶段从Secrets Manager读取令牌值，随后会把这个具体值固化到CodePipeline的Source动作配置中。后续即使Secrets Manager里的令牌更新，CodePipeline不会主动重新拉取新值，动作配置里还是旧的过期令牌。
• Webhook关联未更新：你开启了GitHubTrigger.WEBHOOK，这个Webhook是CDK部署时创建的，关联的是旧令牌。令牌过期后，Webhook的身份验证失效，且不会自动同步Secrets Manager的新令牌，必须重新部署才能重建Webhook并绑定新令牌。
• 重试不触发配置更新：流水线的「重试」只是重复执行现有配置的动作，不会去读取Secrets Manager的新值，所以重试必然失败。

无需销毁重建的解决方法 #

• 控制台直接编辑：在AWS控制台打开CodePipeline，编辑Source阶段的Checkout动作，重新关联GitHub账号，此时系统会自动获取新令牌并更新动作配置，同时重建Webhook。
• 直接执行cdk deploy：不需要先销毁流水线，直接运行cdk deploy即可。CDK会重新读取Secrets Manager的新令牌，自动更新CodePipeline的动作配置和Webhook关联，完成后流水线即可正常工作。

内容的提问来源于stack exchange，提问作者Yang Liu