如何将AWS CodePipeline与ECR集成并部署多容器应用至Elastic Beanstalk？

嘿，我之前也踩过这个坑，其实要搞定CodePipeline连接ECR部署多容器到Elastic Beanstalk，核心就是三个点：权限配置、正确的容器定义文件，还有CodePipeline的阶段设置。我给你一步步捋清楚：

首先，Elastic Beanstalk的EC2实例得有权限从你的ECR仓库拉取镜像，不然部署的时候肯定会报错。

• 找到你的Elastic Beanstalk环境对应的实例角色（默认名字一般是aws-elasticbeanstalk-ec2-role）
• 给这个角色附加权限：可以直接用AWS自带的AmazonEC2ContainerRegistryReadOnly政策，或者更严谨一点，自定义一个只允许拉取目标ECR仓库的政策，示例如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage",
        "ecr:BatchCheckLayerAvailability"
      ],
      "Resource": "arn:aws:ecr:你的区域ID:你的AWS账号ID:repository/你的ECR仓库名称"
    },
    {
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

多容器应用必须靠这个文件告诉Elastic Beanstalk要拉取哪些镜像、怎么配置容器，重点是镜像地址必须是ECR的完整路径：

{
  "AWSEBDockerrunVersion": 2,
  "containerDefinitions": [
    {
      "name": "你的容器名称",
      "image": "你的AWS账号ID.dkr.ecr.你的区域.amazonaws.com/你的ECR仓库名:你的镜像标签",
      "essential": true,
      "portMappings": [
        {
          "hostPort": 80,
          "containerPort": 80
        }
      ]
    },
    // 如果你有多个容器，在这里继续添加其他容器的定义
    {
      "name": "第二个容器名",
      "image": "你的AWS账号ID.dkr.ecr.你的区域.amazonaws.com/第二个ECR仓库名:标签",
      "essential": false
    }
  ]
}

划重点：镜像标签别随便用latest（容易有缓存问题），最好用构建时生成的唯一标签，比如Git commit哈希值，这样能确保每次部署都是最新构建的镜像。

CodePipeline里的部署环节要和Elastic Beanstalk对接，这里有几个关键细节：

• 工件包含Dockerrun.aws.json：不管是Jenkins构建阶段还是CodeBuild阶段，必须把这个配置文件（或者包含它的压缩包）作为输出工件传到CodePipeline的存储（比如S3）。如果是Jenkins构建，记得把修改后的Dockerrun.aws.json打包到输出里。
• 动态替换镜像标签：如果你的镜像标签是动态生成的（比如用Git commit哈希），可以在构建阶段用脚本替换配置文件里的标签，示例命令：

# 假设COMMIT_HASH是你获取到的Git提交哈希值
sed -i "s/REPLACE_WITH_TAG/${COMMIT_HASH}/g" Dockerrun.aws.json

• 选择正确的部署提供商：在CodePipeline的部署阶段，选择Elastic Beanstalk作为提供商，然后选择对应的应用和环境即可。

CodePipeline的服务角色（默认名字类似AWSCodePipelineServiceRole-xxx）不需要直接访问ECR，但需要有权限：

• 读取S3里的工件
• 调用Elastic Beanstalk的部署API
  所以确保这个角色有AWSElasticBeanstalkFullAccess政策，或者自定义包含对应权限的政策。

如果部署失败，试试这些方法快速定位问题：

• 登录到Elastic Beanstalk的EC2实例，手动执行docker pull 你的ECR镜像完整地址，看能不能拉取成功，能的话就是配置文件或者CodePipeline的问题，不能的话就是权限问题。
• 检查Dockerrun.aws.json里的AWSEBDockerrunVersion是不是2，版本1是给单容器用的，多容器必须用版本2。
• 查看Elastic Beanstalk的环境日志，里面会有具体的错误信息，比如镜像不存在、权限不足等。

内容的提问来源于stack exchange，提问作者sakurashinken