如何通过GitLab实现AWS EC2实例文件随仓库提交自动更新？

完全存在成熟可落地的实现路径，优先选择GitLab原生CI/CD方案即可，不需要额外部署第三方同步工具，配置成本低、权限可控，完全匹配你指定路径文件自动更新的需求。不推荐自行实现Webhook监听的方案，该方案需要在EC2上额外常驻监听服务、处理签名校验和异常重试，维护成本远高于原生CI方案。

前置准备 #

• 调整EC2安全组规则：仅放通GitLab服务出口IP段到EC2的SSH端口（默认22，可自定义）入站权限，不要对全网开放SSH端口
• 在EC2上创建独立的部署用户，不要直接使用root账号；给该用户分配目标文件的对应写入权限：例如将/opt/somefunction.js、/etc/someConfig.conf的写入权限授权给部署用户，或配置仅针对这两个文件覆盖操作的免密sudo权限，遵循最小权限原则
• 本地生成一对ED25519类型的SSH密钥对，将公钥写入EC2部署用户的~/.ssh/authorized_keys文件中，私钥妥善留存用于后续配置

GitLab侧配置 #

1. 进入对应GitLab仓库的「设置-CI/CD-变量」页面，添加以下掩码、受保护的环境变量，避免密钥泄露：
   • EC2_SSH_PRIVATE_KEY：之前生成的SSH私钥完整内容，包含开头、结尾的密钥标识行
   • EC2_HOST：EC2实例的公网IP/内网IP（走内网部署时填内网地址）
   • EC2_USER：之前创建的EC2部署用户名
   • EC2_SSH_PORT：EC2的SSH服务监听端口，默认22可按需修改
2. 在仓库根目录创建.gitlab-ci.yml配置文件，定义推送触发后的同步逻辑，以下配置可直接适配你的场景：

stages:
  - sync

sync_files_to_ec2:
  stage: sync
  # 触发规则：推送到main分支时执行，可根据实际使用的生产分支调整
  only:
    - main
  image: alpine:latest
  before_script:
    - apk add --no-cache openssh-client rsync
    - eval $(ssh-agent -s)
    - echo "$EC2_SSH_PRIVATE_KEY" | tr -d '\r' | ssh-add -
    - mkdir -p ~/.ssh
    - chmod 700 ~/.ssh
    - ssh-keyscan -p $EC2_SSH_PORT $EC2_HOST >> ~/.ssh/known_hosts
    - chmod 644 ~/.ssh/known_hosts
  script:
    # 按路径同步对应文件到EC2，后续新增文件直接在下方追加scp/rsync命令即可
    - scp -P $EC2_SSH_PORT ./somefunction.js $EC2_USER@$EC2_HOST:/opt/
    - scp -P $EC2_SSH_PORT ./someConfig.conf $EC2_USER@$EC2_HOST:/etc/
    # 若文件更新后需要重启关联服务，可追加对应执行命令，例如：
    # - ssh -p $EC2_SSH_PORT $EC2_USER@$EC2_HOST "sudo systemctl restart your-target-service"

配置完成后，只要有代码推送到指定分支，CI流水线就会自动执行，将仓库内的对应文件覆盖到EC2的指定路径，全程不需要手动登录服务器操作。

可选优化项 #

• 大文件/多文件场景下，可将scp命令替换为rsync，仅传输变更的文件块，同步效率更高
• 配置校验逻辑：同步配置文件前，先通过ssh远程执行对应服务的配置校验命令（例如nginx的nginx -t），校验不通过则中断部署，避免错误配置覆盖线上文件导致服务故障
• 内网场景优化：如果EC2不对外暴露公网，可在同VPC内部署GitLab Runner，将Runner注册到对应仓库，CI任务会通过内网完成文件同步，不需要暴露EC2的SSH端口到公网，安全性更高
• 备份逻辑：同步文件前先通过ssh远程执行备份命令，将线上旧文件备份到指定目录，出现问题可快速回滚

避坑提醒 #

• 绝对不要将SSH私钥硬编码到.gitlab-ci.yml文件中提交到仓库，所有敏感凭证必须存在GitLab CI的受保护掩码变量中
• 首次配置测试时，先将同步目标路径改为EC2上的临时测试目录，确认路径映射、文件权限完全正确后再切换到正式路径，避免误覆盖线上文件
• 给CI变量配置受保护分支规则，仅允许合并到生产分支的操作触发部署流程，避免任意分支推送都能修改线上文件

内容的提问来源于stack exchange，提问作者Akshay Tayade