如何将GitLab的commit SHA传递到AWS CodeBuild用于ECS镜像打标

以下三种都是生产环境验证过的可行方案，可根据你的流程约束选择：

方案1：代码包内嵌SHA文件（最稳妥无额外配置） #

• GitLab CI打包zip前，将短commit SHA写入项目根目录的固定文件，参考命令：echo $CI_COMMIT_SHORT_SHA > COMMIT_SHA
• 打包时将该文件一同打入zip包上传到S3
• CodeBuild构建阶段直接读取文件内容作为镜像标签即可，参考命令：IMAGE_TAG=$(cat COMMIT_SHA)

该方案无需修改AWS侧任何流水线配置，适配所有S3作为CodePipeline源的场景，是落地成本最低的实现方式。

方案2：AWS原生变量传递（无需修改代码包结构） #

• GitLab CI上传S3时，给zip对象添加自定义元数据，Key为commit-sha，值为$CI_COMMIT_SHORT_SHA，aws cli参考命令：aws s3 cp build.zip s3://<你的bucket名称>/build.zip --metadata commit-sha=$CI_COMMIT_SHORT_SHA
• 进入CodePipeline配置界面，在S3源阶段的输出变量配置中，添加读取S3对象元数据commit-sha的规则，定义输出变量名为SourceCommitSHA
• 在CodeBuild阶段的环境变量配置中，新增变量IMAGE_TAG，值引用源阶段的输出变量#{SourceVariables.SourceCommitSHA}
• CodeBuild运行时直接读取环境变量$IMAGE_TAG即可使用

该方案完全基于AWS原生能力，不侵入代码包内容，适合对代码包结构有严格规范的场景。

方案3：GitLab直接注入CodeBuild环境变量 #

• 给GitLab CI的运行账号授予CodeBuild项目的配置修改权限
• GitLab CI上传S3前，先调用aws cli更新CodeBuild的环境变量，参考命令：aws codebuild update-project --name <你的CodeBuild项目名> --environment-variables-override name=IMAGE_TAG,value=$CI_COMMIT_SHORT_SHA,type=PLAINTEXT
• 完成配置更新后再上传zip到S3触发流水线，CodeBuild运行时可直接读取传入的短SHA值

该方案适合流水线仅为对应GitLab项目服务、无需多场景复用的场景。

内容的提问来源于stack exchange，提问作者Ehud Grand