Terraform中如何强制docker_registry_image重建Lambda镜像并触发更新

一、当前镜像构建方式的合理性确认 #

你的整体配置逻辑是合理的：

• 通过aws_ecr_repository创建存储镜像的ECR仓库；
• 用docker_registry_image完成镜像构建并推送至ECR，keep_remotely = true避免Terraform误删远程镜像；
• Lambda函数通过source_code_hash关联镜像的SHA256摘要，确保镜像更新时自动触发Lambda部署。

但有两处可优化的细节：

1. 避免硬编码账号ID和区域：不要直接写<account_id>和<region>，改用Terraform数据源自动获取：

   data "aws_caller_identity" "current" {}
   data "aws_region" "current" {}
   

   之后镜像URI可写为"${data.aws_caller_identity.current.account_id}.dkr.ecr.${data.aws_region.current.name}.amazonaws.com/lambda:latest"，提升配置的可移植性。
2. 补充唯一标签追溯：仅用latest标签不利于镜像版本追溯，建议额外添加基于代码哈希的唯一标签，比如结合代码目录哈希生成标签，方便后续排查问题。

二、解决代码/配置变更时自动重建镜像的问题 #

要让Terraform感知到Dockerfile或app.py的变化并触发镜像重建，核心是让docker_registry_image资源能检测到这些文件的内容变更，有两种常用方案：

方案1：指定监控文件（精准控制） #

在docker_registry_image的build块中添加files参数，明确列出需要监控的文件，当这些文件内容变化时，Terraform会触发镜像重建：

resource docker_registry_image lambda_image {
  name = "${data.aws_caller_identity.current.account_id}.dkr.ecr.${data.aws_region.current.name}.amazonaws.com/lambda:latest"

  build {
    context = "./code/lambda"
    # 监控Dockerfile和app.py的变更
    files = [
      "./code/lambda/Dockerfile",
      "./code/lambda/app.py"
    ]
  }

  depends_on = [aws_ecr_repository.lambda_repo]
  keep_remotely = true
}

方案2：基于目录文件哈希（全面监控） #

如果需要监控./code/lambda目录下所有文件的变化，可以先通过本地值生成目录内所有文件的组合哈希，再将其作为docker_registry_image的source_hash参数，只要目录内任何文件变更，哈希值就会改变，触发镜像重建：

locals {
  # 获取lambda代码目录下所有文件
  lambda_code_files = fileset("./code/lambda", "**")
  # 生成所有文件的SHA256组合哈希
  lambda_code_hash = join("", [for file in local.lambda_code_files : filesha256("./code/lambda/${file}")])
}

resource docker_registry_image lambda_image {
  name = "${data.aws_caller_identity.current.account_id}.dkr.ecr.${data.aws_region.current.name}.amazonaws.com/lambda:latest"

  build {
    context = "./code/lambda"
  }

  # 通过source_hash感知文件变化
  source_hash = local.lambda_code_hash

  depends_on = [aws_ecr_repository.lambda_repo]
  keep_remotely = true
}

额外说明 #

你当前配置中Lambda的source_code_hash = docker_registry_image.lambda_image.sha256_digest是正确的，镜像重建后SHA256摘要会更新，Terraform会自动触发Lambda函数的新版本部署。

内容的提问来源于stack exchange，提问作者islegmar