基于AWS CDK、ECS与Prisma的CI/CD搭建困惑咨询

一、迁移归属：优先绑定StorageStack #

• 核心逻辑：数据库迁移是与RDS实例生命周期强绑定的操作，属于存储层的配套变更，归到StorageStack更符合分层架构的职责划分。
• 避坑点：如果放到AppStack，多个ECS服务会导致迁移逻辑重复触发；且AppStack更新频率通常高于存储层，没必要每次应用代码更新都执行迁移（仅当Prisma Schema变更时才需要）。
• 注意事项：StorageStack需要能访问Prisma Schema文件和迁移脚本，可通过CDK的Asset机制将本地prisma目录打包到栈的资源中。

二、迁移实现：用CDK Custom Resource + Lambda更可靠 #

Serverless函数（Lambda）触发迁移是可行方案，但直接手动触发Lambda不够灵活，推荐用CDK Custom Resource集成到部署流程中：

• 优势：与CDK栈的部署/更新流程深度绑定，栈创建或更新时自动执行迁移；若迁移失败，整个栈部署会回滚，避免半成功状态。
• 解决同步更新问题：通过CDK的Code.fromAsset将prisma目录（含schema、迁移文件）打包到Lambda，每次Schema变更时，CDK部署会自动更新Lambda代码包，无需手动同步。
• 关键细节：
  • 给Lambda配置VPC和RDS安全组，确保能访问数据库；
  • 环境变量传入RDS的DATABASE_URL（从RDS Secret Manager获取）；
  • Lambda执行prisma migrate deploy命令（需在Lambda代码包中包含prisma CLI依赖）；
  • 利用Prisma迁移的幂等性：Prisma会在数据库中维护_prisma_migrations表记录历史，重复执行不会重复应用已完成的迁移。

极简CDK示例代码 #

// StorageStack.ts
import * as cdk from 'aws-cdk-lib';
import * as lambda from 'aws-cdk-lib/aws-lambda';
import * as cr from 'aws-cdk-lib/custom-resources';
import * as rds from 'aws-cdk-lib/aws-rds';
import * as ec2 from 'aws-cdk-lib/aws-ec2';

export class StorageStack extends cdk.Stack {
  constructor(scope: cdk.App, id: string, props: { vpc: ec2.Vpc }) {
    super(scope, id);

    // 已创建的RDS实例和安全组示例
    const rdsInstance = new rds.DatabaseInstance(this, 'AppDB', {
      engine: rds.DatabaseInstanceEngine.POSTGRES,
      vpc: props.vpc,
      // 其他配置...
    });
    const rdsSecurityGroup = ec2.SecurityGroup.fromSecurityGroupId(this, 'RDSSG', rdsInstance.securityGroupId);

    // 迁移Lambda
    const migrateLambda = new lambda.Function(this, 'PrismaMigrateFn', {
      runtime: lambda.Runtime.NODEJS_18_X,
      handler: 'index.handler',
      code: lambda.Code.fromAsset('./prisma-migrate'), // 本地prisma迁移代码目录
      vpc: props.vpc,
      securityGroups: [rdsSecurityGroup],
      environment: {
        DATABASE_URL: rdsInstance.secret?.secretValueFromJson('url').toString() || ''
      }
    });
    rdsInstance.grantConnect(migrateLambda);

    // Custom Resource绑定迁移逻辑
    new cr.AwsCustomResource(this, 'PrismaMigrateCR', {
      onCreate: this.buildMigrateInvokeProps(migrateLambda),
      onUpdate: this.buildMigrateInvokeProps(migrateLambda),
      policy: cr.AwsCustomResourcePolicy.fromSdkCalls({
        resources: [migrateLambda.functionArn]
      })
    });
  }

  private buildMigrateInvokeProps(fn: lambda.Function) {
    return {
      service: 'Lambda',
      action: 'invoke',
      parameters: {
        FunctionName: fn.functionName,
        InvocationType: 'RequestResponse'
      },
      physicalResourceId: cr.PhysicalResourceId.of(`prisma-migrate-${Date.now()}`)
    };
  }
}

// prisma-migrate/index.js
const { execSync } = require('child_process');
const { PrismaClient } = require('@prisma/client');

exports.handler = async () => {
  const prisma = new PrismaClient();
  try {
    // 先验证数据库连接
    await prisma.$queryRaw`SELECT 1`;
    // 执行迁移
    execSync('npx prisma migrate deploy', { stdio: 'inherit' });
    return { status: 'Migration completed successfully' };
  } catch (err) {
    console.error('Migration failed:', err);
    throw new Error(`Migration error: ${err.message}`);
  } finally {
    await prisma.$disconnect();
  }
};

三、数据安全风险防控 #

• 强制快照备份：在迁移前自动创建RDS快照，可在Lambda中调用AWS SDK的createDBSnapshot接口，或通过CDK配置RDS的自动快照策略（保留至少7天）。
• 测试环境前置验证：CI流程中先在测试环境执行迁移，验证通过后再触发生产环境部署；测试环境需与生产环境结构一致，覆盖所有Schema变更场景。
• 权限最小化：Lambda的IAM角色仅授予RDS连接权限、快照创建权限，避免过高权限导致的误操作。
• 增量迁移优先：尽量使用Prisma的增量迁移（避免DROP TABLE等破坏性操作），若必须执行破坏性变更，先导出数据备份，再执行迁移。

内容的提问来源于stack exchange，提问作者Jack