能否通过AWS CDK Pipeline为GitHub代码打版本标签？

当然可以实现，核心是在CDK Pipeline的构建流程中加入自定义步骤，通过Git命令或GitHub API完成标签的创建与推送，下面分享两种经过验证的方案：

方案一：用ShellScriptStep执行Git命令 #

这种方式直接在构建环境中通过Git命令操作，适合简单场景，步骤如下：

1. 准备GitHub访问凭证
   在AWS Secrets Manager中存储一个GitHub个人访问令牌（PAT），权限需包含repo（允许读写仓库标签），避免使用全局权限。

2. 在CDK Pipeline中添加自定义步骤
   在拉取源码、构建镜像的步骤之后，新增一个ShellScriptStep，完成标签的创建与推送：

   import { ShellScriptStep } from 'aws-cdk-lib/pipelines';
   import { SecretValue } from 'aws-cdk-lib';
   
   // 从Secrets Manager获取GitHub PAT
   const githubPat = SecretValue.secretsManager('github-pat');
   
   const tagStep = new ShellScriptStep('CreateAndPushGitHubTag', {
     commands: [
       // 配置Git用户信息（构建环境为干净环境，需手动设置）
       'git config --global user.name "CDK Pipeline Bot"',
       'git config --global user.email "cdk-pipeline@example.com"',
       // 从Secrets Manager获取PAT并替换Git远程地址
       'GITHUB_PAT=$(aws secretsmanager get-secret-value --secret-id github-pat --query SecretString --output text)',
       'git remote set-url origin https://${GITHUB_PAT}@github.com/your-username/your-repo.git',
       // 生成标签名（这里用Pipeline的构建号，也可以用ECR镜像tag或自定义版本号）
       'TAG_NAME="v$(echo $CODEBUILD_BUILD_NUMBER | awk \'{print $1}\')"',
       // 避免重复标签：仅当标签不存在时创建
       'git tag -l $TAG_NAME || git tag $TAG_NAME',
       // 推送标签到GitHub
       'git push origin $TAG_NAME',
     ],
     // 依赖源码拉取步骤，确保能访问仓库代码
     input: pipeline.sourceOutput,
     env: {
       CODEBUILD_BUILD_NUMBER: pipeline.buildNumber.toString(),
     },
     secretEnv: {
       GITHUB_PAT: githubPat,
     },
   });
   
   // 将标签步骤添加到Pipeline的构建阶段
   pipeline.addStage(yourDeploymentStage, {
     post: [tagStep],
   });
   

3. 注意事项

   • 默认CodeBuild镜像已包含Git和AWS CLI，无需额外安装
   • 若构建环境处于VPC内，需确保能访问GitHub和Secrets Manager（配置NAT网关或VPC端点）

方案二：用LambdaInvokeStep调用GitHub API #

如果不想在构建环境中操作Git，可以用Lambda函数调用GitHub REST API创建标签，适合复杂场景或需要更多逻辑控制的情况：

1. 创建Lambda函数
   编写Lambda函数（以Python为例），调用GitHub API创建标签并推送：

   import boto3
   import requests
   
   def lambda_handler(event, context):
       # 从Secrets Manager获取GitHub PAT
       secrets_manager = boto3.client('secretsmanager')
       pat_secret = secrets_manager.get_secret_value(SecretId='github-pat')
       github_pat = pat_secret['SecretString']
   
       # 从事件参数中获取仓库信息、Commit SHA、标签名
       owner = event['owner']
       repo = event['repo']
       commit_sha = event['commit_sha']
       tag_name = event['tag_name']
   
       headers = {
           'Authorization': f'token {github_pat}',
           'Accept': 'application/vnd.github.v3+json'
       }
   
       try:
           # 1. 创建Git标签对象
           tag_url = f'https://api.github.com/repos/{owner}/{repo}/git/tags'
           tag_data = {
               "tag": tag_name,
               "message": f"Auto-tag for build {tag_name}",
               "object": commit_sha,
               "type": "commit"
           }
           tag_resp = requests.post(tag_url, json=tag_data, headers=headers)
           tag_resp.raise_for_status()
           tag_sha = tag_resp.json()['sha']
   
           # 2. 创建引用（推送标签到仓库）
           ref_url = f'https://api.github.com/repos/{owner}/{repo}/git/refs'
           ref_data = {
               "ref": f'refs/tags/{tag_name}',
               "sha": tag_sha
           }
           ref_resp = requests.post(ref_url, json=ref_data, headers=headers)
           ref_resp.raise_for_status()
   
           return {"status": "success", "tag_name": tag_name}
       except requests.exceptions.HTTPError as e:
           # 处理标签已存在的情况（422状态码）
           if e.response.status_code == 422:
               return {"status": "skipped", "reason": "Tag already exists"}
           raise
   

2. 在CDK中集成Lambda到Pipeline
   创建Lambda函数并添加到Pipeline作为步骤：

   import { LambdaInvokeStep } from 'aws-cdk-lib/pipelines';
   import { Function, Runtime, Code } from 'aws-cdk-lib/aws-lambda';
   import { PolicyStatement } from 'aws-cdk-lib/aws-iam';
   
   // 创建Lambda函数
   const tagLambda = new Function(this, 'GitHubTagLambda', {
     runtime: Runtime.PYTHON_3_11,
     code: Code.fromAsset('lambda'),
     handler: 'tag_handler.lambda_handler',
   });
   
   // 授予Lambda访问Secrets Manager的权限
   tagLambda.addToRolePolicy(new PolicyStatement({
     actions: ['secretsmanager:GetSecretValue'],
     resources: ['arn:aws:secretsmanager:${AWS::Region}:${AWS::AccountId}:secret:github-pat-*'],
   }));
   
   // 创建Lambda调用步骤
   const lambdaTagStep = new LambdaInvokeStep('InvokeGitHubTagLambda', {
     lambdaFunction: tagLambda,
     // 传入参数：仓库信息、Commit SHA（从源码步骤获取）、标签名
     inputs: {
       owner: 'your-username',
       repo: 'your-repo',
       commit_sha: pipeline.sourceOutput.sourceArtifact.commitId,
       tag_name: `v${pipeline.buildNumber}`,
     },
   });
   
   // 添加到Pipeline
   pipeline.addStage(yourDeploymentStage, {
     post: [lambdaTagStep],
   });
   

3. 注意事项

   • Lambda需联网访问GitHub API，若在VPC内需配置NAT网关
   • 可在Lambda中添加更多异常处理逻辑，比如记录失败日志、告警通知

通用建议 #

• 标签命名保持规范：比如语义化版本v1.0.0或关联构建号build-123，方便和ECR镜像标签对应，追踪构建记录
• 最小化权限：GitHub PAT只授予必要的仓库操作权限，Lambda和CodeBuild角色也只给所需的AWS服务权限
• 日志与监控：在步骤中添加日志输出，方便排查标签创建失败的问题

内容的提问来源于stack exchange，提问作者Paulo Neves