如何通过Lambda函数实现跨AWS账户克隆CodeCommit仓库？

完全可以通过Lambda或其他AWS原生服务实现这个流程的自动化，以下是具体可行的方案：

一、Lambda函数实现实时/定时同步 #

这是最轻量化的方案，适合直接的代码镜像需求。

1. 配置跨账户权限 #

• 源账户（开发仓库所在账户）：创建一个IAM角色，信任目标账户的Lambda执行角色，附加权限策略允许拉取CodeCommit仓库内容：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "codecommit:GitPull",
          "codecommit:GetRepository"
        ],
        "Resource": "arn:aws:codecommit:${region}:${source_account_id}:${source_repo_name}"
      }
    ]
  }
  

• 目标账户：创建Lambda执行角色，附加CodeCommit写入权限，同时允许该角色扮演源账户的上述信任角色：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "codecommit:GitPush",
          "codecommit:GetRepository"
        ],
        "Resource": "arn:aws:codecommit:${region}:${target_account_id}:${target_repo_name}"
      },
      {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::${source_account_id}:role/${source_trust_role_name}"
      }
    ]
  }
  

2. Lambda函数核心逻辑（Python示例） #

Lambda需要包含Git环境，可以通过Lambda层添加Git二进制文件（AWS Marketplace有现成的Git层，或者自行打包）。函数逻辑如下：

import os
import subprocess
import boto3
from tempfile import TemporaryDirectory

def lambda_handler(event, context):
    # 配置参数
    REGION = "us-east-1"
    SOURCE_REPO = "your-source-repo"
    TARGET_REPO = "your-target-repo"
    SOURCE_ROLE_ARN = "arn:aws:iam::123456789012:role/source-codecommit-access-role"
    
    # 扮演源账户角色获取临时凭证
    sts = boto3.client('sts')
    assumed_role = sts.assume_role(RoleArn=SOURCE_ROLE_ARN, RoleSessionName="codecommit-sync")
    creds = assumed_role['Credentials']
    
    # 配置Git凭证助手
    os.environ['AWS_ACCESS_KEY_ID'] = creds['AccessKeyId']
    os.environ['AWS_SECRET_ACCESS_KEY'] = creds['SecretAccessKey']
    os.environ['AWS_SESSION_TOKEN'] = creds['SessionToken']
    
    with TemporaryDirectory() as tmpdir:
        os.chdir(tmpdir)
        # 克隆源仓库
        subprocess.run([
            "git", "clone", 
            f"https://git-codecommit.{REGION}.amazonaws.com/v1/repos/{SOURCE_REPO}",
            "."
        ], check=True)
        # 添加目标仓库远程
        subprocess.run([
            "git", "remote", "add", "target",
            f"https://git-codecommit.{REGION}.amazonaws.com/v1/repos/{TARGET_REPO}"
        ], check=True)
        # 推送所有分支到目标仓库（可改为指定分支如main）
        subprocess.run(["git", "push", "target", "--all"], check=True)
    
    return {"statusCode": 200, "body": "Sync completed successfully"}

3. 触发方式 #

• 实时触发：在源CodeCommit仓库的触发器设置中，添加Lambda作为目标，当代码推送到指定分支（如main）时自动执行同步
• 定时触发：通过CloudWatch Events（或EventBridge）设置定时规则，定期执行Lambda进行同步

二、其他替代方案 #

• CodePipeline跨账户同步：如果需要在同步前添加构建、测试等步骤，可以用CodePipeline：源阶段拉取源CodeCommit代码，部署阶段通过跨账户角色将代码推送到目标CodeCommit
• EC2定时脚本：如果Lambda的Git环境配置麻烦，可以在EC2实例上运行bash脚本，通过cron定时执行Git拉取和推送，权限配置逻辑和Lambda类似
• 注意事项：如果目标仓库有独立提交，同步前需添加拉取合并逻辑；强制推送需谨慎，避免覆盖目标仓库的有效修改

内容的提问来源于stack exchange，提问作者jan 18