클라우드 배포 — AWS · CI/CD 퀘스트

OIDC와 배포 액션

AWS 배포 패턴은 OIDC로 인증하고, 그다음 아래 방식 중 하나를 선택해.

ECS 롤링 배포 — aws-actions/amazon-ecs-deploy-task-definition
kubectl로 EKS 배포 — aws-actions/configure-aws-credentials + aws eks update-kubeconfig + kubectl apply.
Lambda — aws-actions/aws-lambda-deploy 또는 aws lambda update-function-code.
S3 / CloudFront 정적 사이트 — aws s3 sync + aws cloudfront create-invalidation.
App Runner — aws-actions/amazon-app-runner-deploy.

AWS 측 일회성 설정

token.actions.githubusercontent.com 용 IAM Identity Provider 생성.
repo:my-org/my-repo:ref:refs/heads/main 키로 trust policy를 가진 IAM Role 생성.
Role의 permissions policy가 특정 배포 액션을 허용하도록 설정 (예: 특정 service ARN에 ecs:UpdateService 권한 부여).

설정을 마치면, 모든 워크플로 실행 시 범위가 제한된 1시간짜리 자격 증명을 새로 받게 돼. 정적 키는 필요 없어.

Code

S3 + CloudFront에 정적 사이트 배포·yaml

  deploy:
    needs: build
    runs-on: ubuntu-latest
    permissions:
      id-token: write
      contents: read
    environment:
      name: production
      url: https://www.example.com
    steps:
      - uses: actions/checkout@v4
      - uses: actions/download-artifact@v4
        with: { name: dist, path: dist }
      - uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: arn:aws:iam::111222333444:role/gha-deploy-prod
          aws-region: us-east-1
      - run: |
          aws s3 sync dist/ s3://www-example-com/ --delete
          aws cloudfront create-invalidation \
            --distribution-id ${{ vars.CLOUDFRONT_ID }} \
            --paths '/*'

클라우드 배포 — AWS

OIDC와 배포 액션

AWS 측 일회성 설정

Code

External links

Exercise

Progress

댓글 0