Amazon EC2 Mac实例补丁更新流水线搭建及部署方案咨询

针对EC2 Mac实例不支持ASG自动扩缩容的限制，以下是两种可落地的实例替换方案：

方案1：Step Functions + Lambda 全自动化编排 #

适合需要高度自定义流程的场景，全流程可实现无人值守执行：

• Packer配合CodeBuild完成AMI构建后，通过EventBridge监听AMI构建完成事件，自动触发Step Functions工作流
• 工作流第一步调用Lambda，拉取当前线上运行的EC2 Mac实例的全量配置：包括关联的专用主机ID、可用区、实例类型、安全组、IAM角色、标签、数据卷挂载规则等
• 第二步校验专用主机的24小时最小租赁期：运行aws ec2 describe-hosts --host-ids <HOST_ID> --query "Hosts[0].AllocationTime" 获取主机分配时间，计算是否满足释放条件，不满足则先将任务存入延迟队列，到期后自动触发后续步骤
• 第三步停止旧实例、释放原有专用主机，使用新AMI和之前的配置启动新的EC2 Mac实例
• 第四步执行自定义健康检查：验证补丁版本、业务脚本运行环境、依赖服务连通性是否符合要求
• 检查通过则清理旧实例的残留资源（旧根卷、临时快照等），检查失败则自动回滚用旧AMI启动实例，同时发送告警通知

注意：EC2 Mac的专用主机资源在部分可用区库存有限，建议固定使用同一可用区的主机资源，避免替换时出现库存不足的问题

方案2：SSM Automation 轻量化实现 #

适合不想维护复杂工作流的场景，可复用AWS原生的运维能力：

• 自定义SSM Automation运行手册，封装上述实例替换的全流程步骤
• AMI构建完成后直接调用SSM手册执行替换，自带执行日志留存、错误重试、细粒度权限管控能力，仅需要少量自定义脚本即可跑通流程
• 可直接对接现有CI/CD流水线，不需要额外部署新的服务组件

可选兜底机制 #

如果业务对可用性要求极高，可以在流水线中加入两个兜底节点：

• AMI构建完成后先启动临时测试实例，跑完所有业务回归测试用例后再进入替换流程
• 替换前加入人工审批节点，确认补丁内容和AMI配置无误后再执行线上实例替换

内容的提问来源于stack exchange，提问作者nikhilsoman