AWS CodePipeline部署报无法读取BuildArtifact内AppSec工件咨询

报错信息里提到的AppSec是CodePipeline ECS部署动作的日志拼写笔误，实际指代的就是ECS部署所需的AppSpec配置文件，和应用安全类配置没有任何关系，你理解成appspec.yaml相关的读取错误是完全正确的。

• 构建阶段输出的BuildArtifact制品包中，没有包含appspec.yaml和taskdef.json两个必填配置文件：大部分情况是buildspec.yml的artifacts配置段漏写了这两个文件的打包规则，虽然文件在代码仓库根目录存在，但不会被自动打包到输出制品里。
• 文件命名、路径不匹配：比如配置文件实际后缀是.yml而非.yaml、文件存放在代码子目录但部署阶段配置的是根目录路径、文件名大小写错误（比如写成AppSpec.yaml、appspec.YAML，S3对象存储是大小写敏感的，会匹配失败）。
• 部署阶段配置错误：比如ECS部署动作选错了输入制品（没有关联构建阶段输出的BuildArtifact），或者配置的AppSpec文件路径和制品内的实际路径不一致。
• 构建输出的制品包损坏：构建阶段打包压缩异常，导致部署阶段解压制品时无法找到对应文件。
  注意：这个错误是文件读取阶段抛出的，还没到AppSpec内容格式校验的步骤，不用先排查文件内部的字段配置错误。

1. 首先检查构建阶段使用的buildspec.yml配置，确认artifacts段明确将两个配置文件纳入打包范围，参考标准配置：

artifacts:
  files:
    - taskdef.json
    - appspec.yaml
  # 如果文件存放在子目录，需要写对相对路径，例如 - deploy/appspec.yaml
  discard-paths: yes # 开启该参数会把匹配到的文件直接放在压缩包根目录，避免路径层级问题

2. 手动触发一次流水线，等构建阶段执行完成后，找到CodePipeline绑定的S3制品存储桶，下载本次生成的BuildArtifact压缩包，本地解压后确认：
   • 压缩包可以正常打开无损坏
   • 压缩包根目录下存在命名完全匹配的appspec.yaml、taskdef.json，无后缀、大小写、路径层级错误
3. 回到CodePipeline编辑页，检查Deploy阶段的Amazon ECS部署动作配置：
   • 确认该动作的输入源选择的是构建阶段输出的BuildArtifact，没有选成源码制品或者其他阶段的输出
   • 确认动作配置里填写的「AppSpec 文件路径」「任务定义文件路径」和压缩包内的实际路径完全一致，文件在根目录的话直接填文件名即可，不要加多余前缀
4. 兜底校验：如果以上配置都没问题，尝试把appspec.yaml的后缀改成.yml，同步修改buildspec和部署阶段的路径配置，部分较早开放的区域旧版部署动作默认仅识别.yml后缀的AppSpec文件。

内容的提问来源于stack exchange，提问作者Toseef Zafar