使用sam deploy与CloudFormation时如何检测ECR镜像变更

CloudFormation 仅通过比对模板中资源属性的字面量值判断是否需要更新资源。你当前配置里镜像标签固定为${AWS::StackName}，即便标签对应的镜像内容已经更新，只要镜像URI字符串本身没有变化，CloudFormation 就会判定ECS任务定义无变更，不会触发ECS服务的滚动更新。你后续手动调用force-new-deployment属于脱离CloudFormation栈管控的带外操作，必然会引发栈漂移。

所有方案均无需在CloudFormation流程外执行额外的AWS API操作，从根源规避栈漂移问题：

方案1：传入带SHA256摘要的镜像URI（优先推荐） #

通过镜像摘要唯一标识镜像版本，每次镜像更新后摘要必然变化，CloudFormation 可以稳定检测到任务定义变更，自动触发服务滚动更新，同时还能保证镜像版本不可变、可追溯，避免同标签镜像被覆盖导致的部署不一致问题。

1. CI流水线完成镜像构建推送到ECR后，先获取对应镜像的SHA256摘要：

   IMAGE_DIGEST=$(aws ecr describe-images \
     --repository-name <repo_name> \
     --image-ids imageTag=${STACK_NAME} \
     --query 'imageDetails[0].imageDigest' \
     --output text)
   

2. 修改CloudFormation模板，新增镜像URI参数，替换原有硬编码的镜像配置：

   Parameters:
     ContainerImageUri:
       Type: String
       Description: 带SHA256摘要的完整ECR镜像地址
   # 容器定义部分
   ContainerDefinitions:
     - Name: Backend
       Image: !Ref ContainerImageUri
       # 其余原有配置保持不变
   

3. 执行sam deploy时传入拼接好的带摘要的镜像地址：

   sam deploy --template-file devops/templates/${CFFILENAME}.yml \
         --capabilities CAPABILITY_NAMED_IAM --stack-name "${STACK_NAME}" \
         --region ${AWS_DEFAULT_REGION} --no-fail-on-empty-changeset \
         --parameter-overrides ContainerImageUri=<registry_id>.dkr.ecr.eu-central-1.amazonaws.com/<repo_name>:${STACK_NAME}@${IMAGE_DIGEST}
   

方案2：添加构建版本戳触发变更（兼容不想修改镜像引用逻辑的场景） #

如果不想调整镜像引用格式，可以给容器定义增加一个不影响业务逻辑的动态属性，每次部署传入唯一的构建标识（比如Git提交Hash、流水线构建号、时间戳），强制CloudFormation检测到任务定义变化，生成新的任务版本并触发服务滚动更新。

1. 修改模板新增构建ID参数：

   Parameters:
     BuildId:
       Type: String
       Description: 唯一构建标识，用于触发任务定义更新
   

2. 在容器配置中增加一个无业务用途的环境变量，值引用该参数：

   ContainerDefinitions:
     - Name: Backend
       Image: !Sub <registry_id>.dkr.ecr.eu-central-1.amazonaws.com/<repo_name>:${AWS::StackName}
       Environment:
         - Name: _DEPLOY_BUILD_ID
           Value: !Ref BuildId
       # 其余原有配置保持不变
   

   注意：这个环境变量不要被业务代码读取使用，仅作为触发CloudFormation变更检测的标记存在。

3. 执行sam deploy时传入当前构建的唯一标识：

   sam deploy --template-file devops/templates/${CFFILENAME}.yml \
         --capabilities CAPABILITY_NAMED_IAM --stack-name "${STACK_NAME}" \
         --region ${AWS_DEFAULT_REGION} --no-fail-on-empty-changeset \
         --parameter-overrides BuildId=${GIT_COMMIT_SHORT_HASH}
   

• 不要使用latest、固定栈名这类内容可变但字符串值固定的标签作为镜像的唯一引用标识，这是CloudFormation无法检测到镜像更新的核心原因
• 所有ECS服务、任务定义的变更都要通过CloudFormation栈更新完成，不要在栈外手动调用AWS API修改资源配置，从根源上避免栈漂移

内容的提问来源于stack exchange，提问作者Daniil