在AWS CodeBuild中运行Terraform部署Lambda函数的问题

调整Buildspec阶段执行顺序 #

CodeBuild的默认执行流程是INSTALL → PRE_BUILD → BUILD → POST_BUILD，你需要把Lambda压缩包上传至S3的操作放在BUILD阶段末尾，将Terraform的apply操作放在POST_BUILD阶段，确保包已经完成上传后再执行部署。

示例Buildspec.yml配置 #

version: 0.2

phases:
  install:
    commands:
      - echo 安装Terraform
      # 安装指定版本的Terraform
      - wget https://releases.hashicorp.com/terraform/1.5.7/terraform_1.5.7_linux_amd64.zip
      - unzip terraform_1.5.7_linux_amd64.zip
      - mv terraform /usr/local/bin/
      - terraform --version
      # 安装Lambda代码依赖（以Python为例）
      - pip install -r requirements.txt -t ./lambda-src/

  build:
    commands:
      - echo 构建Lambda压缩包
      - cd lambda-src && zip -r ../lambda-deploy-package.zip .
      - echo 上传压缩包至S3
      # 替换为你的S3桶路径
      - aws s3 cp lambda-deploy-package.zip s3://your-target-bucket/lambda-packages/

  post_build:
    commands:
      - echo 初始化Terraform
      - cd terraform-config
      - terraform init
      - echo 执行Terraform部署
      - terraform apply -auto-approve

Terraform配置关键要点 #

确保Lambda资源配置中直接引用S3上的包路径，示例：

resource "aws_lambda_function" "target_lambda" {
  function_name = "my-demo-lambda"
  role          = aws_iam_role.lambda_exec_role.arn
  handler       = "lambda_function.lambda_handler"
  runtime       = "python3.11"

  # 指定S3存储的包位置
  s3_bucket = "your-target-bucket"
  s3_key    = "lambda-packages/lambda-deploy-package.zip"
}

额外注意事项 #

• 给CodeBuild服务角色配置足够权限：包括S3对象上传权限、Terraform部署Lambda所需的IAM权限（如创建Lambda函数、IAM角色等）
• 若要避免S3包缓存问题，可以给压缩包添加哈希后缀，比如：

  - PACKAGE_HASH=$(sha256sum lambda-deploy-package.zip | cut -d' ' -f1)
  - aws s3 cp lambda-deploy-package.zip s3://your-target-bucket/lambda-packages/lambda-package-${PACKAGE_HASH}.zip
  

  之后通过Terraform变量传递这个带哈希的文件名，保证每次构建的包都能被正确识别。

内容的提问来源于stack exchange，提问作者Vikram