AWS CodeCommit与Bitrise集成时如何实现SSH密钥定期轮换？

方案1：通过SSH Host别名彻底规避仓库URL变更需求 #

这是最优的长期方案，从根源上解决URL依赖Key ID的问题，无需调用Bitrise不存在的仓库URL更新接口。
AWS CodeCommit默认的SSH URL格式为ssh://<SSH-Key-ID>@git-codecommit.<区域>.amazonaws.com/v1/repos/<仓库名>，核心问题是URL中嵌入了动态的SSH Key ID。你可以通过自定义SSH Host别名将Key ID从URL剥离，放到SSH配置文件中统一管理：

• 先将Bitrise项目的仓库URL修改为固定的别名格式，示例：ssh://codecommit/v1/repos/<你的仓库名>，其中codecommit为自定义的Host标识，后续永久无需修改
• 在Bitrise的项目构建流程中增加SSH配置生成步骤，每次构建时从Secret变量读取当前生效的SSH Key ID，生成如下~/.ssh/config配置：

Host codecommit
  HostName git-codecommit.<你的AWS区域>.amazonaws.com
  User <当前生效的SSH Key ID>
  IdentityFile ~/.ssh/bitrise_codecommit_key
  StrictHostKeyChecking accept-new

• 密钥轮换时仅需要完成两个操作：调用Bitrise提供的SSH密钥更新接口上传新的私钥，同步更新Bitrise Secret中存储的SSH Key ID值即可，全程无需修改仓库URL。

方案2：IAM双密钥灰度轮换（适合低频率手动轮换场景） #

如果不需要全自动化轮换，可以利用AWS IAM单个用户最多支持同时绑定2个SSH公钥的特性实现零停机切换：

• 先生成新的SSH密钥对，将新公钥上传到对应IAM用户，此时新旧两个公钥同时生效，两个对应的Key ID都可以正常访问CodeCommit
• 手动在Bitrise项目设置中更新SSH私钥为新生成的私钥，确认集成运行正常后，再删除IAM中存储的旧公钥
• 该方案不需要调整现有仓库URL和SSH配置，缺点是需要手动操作界面，不适合高频自动轮换场景。

自动化实现注意事项 #

如果要搭建全自动化轮换流程，可通过AWS CLI + Bitrise OpenAPI实现全链路闭环：

1. 本地生成新的SSH密钥对
2. 调用IAM上传公钥接口获取新的SSH Key ID
3. 调用Bitrise接口更新项目SSH私钥，同步更新Bitrise项目中存储Key ID的Secret变量
4. 触发测试构建验证集成正常
5. 调用IAM接口删除旧的SSH公钥

内容的提问来源于stack exchange，提问作者Yury