基于SemVer标签的AWS ECS镜像在Azure DevOps流水线自动部署咨询

这个需求完全可实现，核心逻辑为全程绑定明确的SemVer版本号作为镜像唯一标识，弃用:latest标签作为部署依据，所有环境的ECS Task Definition均固定写入对应SemVer的完整镜像地址，从根本上避免容器重启拉错版本的问题。

• 在Azure DevOps中配置有权限的AWS服务连接，需开放ECR读取、ECS Task Definition注册、ECS服务更新的相关IAM权限
• 提前将UAT、PROD环境的ECS集群、服务、Task Definition名称整理为流水线变量，避免硬编码

1. 镜像构建推送阶段（原有逻辑改造） #

• 构建完成后将本次生成的SemVer版本号存储为全局流水线变量，命名为IMAGE_SEMVER
• 拼接得到本次镜像的完整地址，格式为：${AWS_ACCOUNT_ID}.dkr.ecr.${REGION}.amazonaws.com/${ECR_REPO_NAME}:${IMAGE_SEMVER}
• 推送镜像到ECR时仅需推送上述带SemVer标签的镜像即可，:latest标签可选择推送但部署流程全程不使用

2. UAT环境自动部署阶段 #

该阶段镜像推送完成后自动触发，操作步骤如下：

• 拉取UAT环境当前在用的Task Definition模板，执行命令：
  aws ecs describe-task-definition --task-definition ${UAT_TASK_DEF_NAME} --query 'taskDefinition' | jq 'del(.taskDefinitionArn,.revision,.status,.requiresAttributes,.compatibilities,.registeredAt,.registeredBy)' > uat-task-def.json
• 替换模板中的镜像地址为本次构建的SemVer版本镜像：
  jq --arg IMAGE "${FULL_IMAGE_ADDR}" '.containerDefinitions[0].image = $IMAGE' uat-task-def.json > updated-uat-task-def.json
  如果有多个容器，按实际索引修改containerDefinitions的下标即可
• 注册新的UAT Task Definition版本，记录返回的ARN：
  NEW_UAT_TASK_DEF_ARN=$(aws ecs register-task-definition --cli-input-json file://updated-uat-task-def.json --query 'taskDefinition.taskDefinitionArn' --output text)
• 触发UAT服务部署：
  aws ecs update-service --cluster ${UAT_CLUSTER_NAME} --service ${UAT_SERVICE_NAME} --task-definition ${NEW_UAT_TASK_DEF_ARN} --force-new-deployment
  此处--force-new-deployment不会引发版本错乱问题，因为Task Definition中已经固定了明确的镜像版本，容器重启只会拉取对应SemVer的镜像

3. 人工审批节点 #

在UAT部署完成后新增审批阶段，在Azure DevOps中配置PROD环境的审批规则，指定相关负责人作为审批人，审批页面可展示本次IMAGE_SEMVER版本号，方便核对UAT验证结果。审批未通过时流水线自动终止，不会影响PROD环境。

4. PROD环境部署阶段 #

审批通过后自动触发，操作逻辑与UAT部署完全一致，仅需将所有UAT相关的集群、服务、Task Definition变量替换为PROD环境对应值即可。

• 所有环境的Task Definition均固定写入带明确SemVer标签的镜像地址，不存在动态拉取:latest的逻辑，即使容器崩溃、ECS重新调度，也只会拉取对应版本的镜像
• PROD环境的部署必须经过人工审批，新版本不会自动同步到PROD，只要未主动触发PROD部署，PROD的Task Definition永远为已验证的历史版本，不会被新构建的镜像影响

内容的提问来源于stack exchange，提问作者Albert