AWS CDK部署Lambda仅首次用占位镜像不覆盖CI/CD镜像方案

你当前使用lambda.DockerImageCode.fromImageAsset的写法，会触发CDK在每次合成（synth）阶段重新构建本地占位镜像目录，生成新的镜像哈希，CloudFormation检测到Lambda资源的Code属性发生变化，就会在部署时自动把Lambda镜像重置为新构建的占位镜像，覆盖CI/CD流程推送的业务镜像。

不需要保留本地asset占位逻辑，直接通过「ECR预置占位镜像+CDK属性更新忽略」的方式实现，完全避免CDK覆写业务镜像，具体步骤如下：

• 一次性准备占位镜像：选取可正常启动的最小镜像（比如公共Amazon Linux基础镜像、你之前使用的minimal镜像），提前推到目标ECR仓库，固定tag为cdk-placeholder，该操作仅需执行一次，不需要和CDK代码存放在同一仓库。
• 修改CDK代码，将Lambda代码源改为引用ECR上的预置占位镜像，同时配置CDK忽略Lambda资源Code属性的后续更新，其他配置（内存、超时、环境变量、VPC等）的更新不受任何影响。

对应的代码示例：

import * as ecr from 'aws-cdk-lib/aws-ecr';
import * as lambda from 'aws-cdk-lib/aws-lambda';
import { Duration } from 'aws-cdk-lib';

// ECR仓库创建逻辑保持原有写法
this.repository =
  this.config.repository ??
  new ecr.Repository(this, 'Repository', {
    repositoryName: this.config.repositoryName,
  });

this.lambda = new lambda.DockerImageFunction(this, 'DockerLambda', {
  // 替换原有fromImageAsset逻辑，直接引用ECR中提前预置的占位镜像
  code: lambda.DockerImageCode.fromEcrRepository(
    this.repository,
    'cdk-placeholder', // 固定占位镜像tag
    { cmd: this.config.cmd, entrypoint: this.config.entrypoint },
  ),
  functionName: config.functionName ?? this.node.id,
  environment: config.environment,
  timeout: Duration.seconds(config.timeout ?? 600),
  memorySize: config.memorySize ?? 1024,
  vpc: config.vpc,
  vpcSubnets: config.vpcSubnets ?? {
    subnets: config.vpc?.privateSubnets,
  },
});

// 核心配置：禁止CDK在后续部署中修改Lambda的代码镜像配置
const cfnLambda = this.lambda.node.defaultChild as lambda.CfnFunction;
// 标记Code属性为忽略更新，CDK后续合成不会把该属性的变更提交给CloudFormation
cfnLambda.addMetadata('aws:cdk:ignore-updates', ['Code']);

• 原有CI/CD流程完全不需要调整：GitHub Actions照常推送业务镜像到ECR，之后调用Lambda更新接口绑定新镜像即可，后续CDK修改任何非镜像类配置重新部署，都不会改动当前Lambda运行的业务镜像。

如果后续需要临时通过CDK强制更新Lambda镜像，只需要暂时注释掉addMetadata那行忽略配置，部署一次后再恢复注释即可；也可以在配置中增加forceImageUpdate开关参数，控制是否启用忽略逻辑，适配不同场景需求。

不要尝试通过运行时判断Lambda是否存在的逻辑动态切换代码源，CDK是声明式基础设施即代码工具，合成阶段不会查询线上资源状态做条件判断，这类逻辑会导致CloudFormation模板状态不一致，后续触发不可预期的部署错误。

内容的提问来源于stack exchange，提问作者synic