on July 15, 2019

dev ドメインで作成したブログのパイプラインを作成する

概要

前の記事でブログをホスティングするための環境を作成しました。この記事ではブログを継続的にデプロイするためのパイプライラインを作成します。

前提

ブログ記事の管理は Github

テンプレート

作成するリソースは大体次です。

ブログをビルドするための CodeBuild
ソースが Github、ビルドが前述の CodeBuild、デプロイが S3 の CodePipeline
Github からの変更を通知する WebHook
WebHook のシークレット

入力パラメーター

GitHubRepo にはブログを管理してる Github のリポジトリ名
GitHubBranch にはそのブランチ名（例: master）
GitHubToken には Github の OAuth トークン。個人用のアクセストークンを使用するようにパイプラインを設定する (GitHub と CLI)
GitHubUser には Github のユーザ名
DeployBucket には、前の記事で作成した CloudFront のオリジンの S3 バケット名（例: www.konoui.dev）
DistributionID には、前の記事で作成した CloudFront のディストリビューション ID

この内、DistributionID ですが、これは、CodeBuild 内で、CloudFront のキャッシュを Invalidation するために使用します。 buildspec.yml ファイルも添付します。hugo でビルドしています。

  1
  2
  3
  4
  5
  6
  7
  8
  9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
AWSTemplateFormatVersion: 2010-09-09

Parameters:
  GitHubRepo:
    Type: String
  GitHubBranch:
    Type: String
  GitHubToken:
    Type: String
    NoEcho: true
  GitHubUser:
    Type: String

  SourceArtifact:
    Type: String
    Default: SourceArtifact
  BuildArtifact:
    Type: String
    Default: BuildArtifact

  DeployBucket:
    Type: String

  DistributionID:
    Type: String

Resources:
  ArtifactBucket:
    Type: AWS::S3::Bucket
    DeletionPolicy: Retain
    Properties:
      LifecycleConfiguration:
        Rules:
          - Id: delete all objects per a day
            Status: Enabled
            ExpirationInDays: 1

  CodeBuildProject:
    Type: AWS::CodeBuild::Project
    Properties:
      Artifacts:
        Type: CODEPIPELINE
      Source:
        Type: CODEPIPELINE
      Environment:
        ComputeType: BUILD_GENERAL1_SMALL
        Image: aws/codebuild/amazonlinux2-x86_64-standard:1.0
        Type: LINUX_CONTAINER
        PrivilegedMode: True
        EnvironmentVariables:
          - Name: AWS_ACCOUNT_ID
            Value: !Ref AWS::AccountId
          - Name: AWS_DEFAULT_REGION
            Value: !Ref AWS::Region
          - Name: DISTRIBUTION_ID
            Value: !Ref DistributionID
          - Name: DEPLOY_BUCKET
            Value: !Ref DeployBucket
      Name: !Ref AWS::StackName
      # does not work on CodePipeline
      # BadgeEnabled: True
      ServiceRole: !Ref CodeBuildServiceRole

  CodeBuildServiceRole:
    Type: AWS::IAM::Role
    Properties:
      Path: /
      AssumeRolePolicyDocument:
        Version: 2012-10-17
        Statement:
          - Effect: Allow
            Principal:
              Service: codebuild.amazonaws.com
            Action: sts:AssumeRole
      Policies:
        - PolicyName: root
          PolicyDocument:
            Version: 2012-10-17
            Statement:
              - Resource: "*"
                Effect: Allow
                Action:
                  - logs:CreateLogGroup
                  - logs:CreateLogStream
                  - logs:PutLogEvents
              - Resource: !Sub arn:aws:s3:::${ArtifactBucket}/*
                Effect: Allow
                Action:
                  - s3:GetObject
                  - s3:PutObject
                  - s3:GetObjectVersion
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/PowerUserAccess
        - arn:aws:iam::aws:policy/IAMReadOnlyAccess

  Pipeline:
    Type: AWS::CodePipeline::Pipeline
    Properties:
      RoleArn: !GetAtt CodePipelineServiceRole.Arn
      ArtifactStore:
        Type: S3
        Location: !Ref ArtifactBucket
      Stages:
        - Name: Source
          Actions:
            - Name: Github
              ActionTypeId:
                Category: Source
                Owner: ThirdParty
                Version: 1
                Provider: GitHub
              Configuration:
                Owner: !Ref GitHubUser
                Repo: !Ref GitHubRepo
                Branch: !Ref GitHubBranch
                OAuthToken: !Ref GitHubToken
                PollForSourceChanges: false
              OutputArtifacts:
                - Name: !Ref SourceArtifact
              RunOrder: 1
        - Name: Build
          Actions:
            - Name: Build
              ActionTypeId:
                Category: Build
                Owner: AWS
                Version: 1
                Provider: CodeBuild
              Configuration:
                ProjectName: !Ref CodeBuildProject
              InputArtifacts:
                - Name: !Ref SourceArtifact
              OutputArtifacts:
                - Name: !Ref BuildArtifact
              RunOrder: 1
        - Name: Deploy
          Actions:
            - Name: DeployAction
              ActionTypeId:
                Category: Deploy
                Owner: AWS
                Provider: S3
                Version: 1
              InputArtifacts:
                - Name: !Ref BuildArtifact
              Configuration:
                BucketName: !Ref DeployBucket
                Extract: true
              RunOrder: 1

  CodePipelineServiceRole:
    Type: AWS::IAM::Role
    Properties:
      Path: /
      AssumeRolePolicyDocument:
        Version: 2012-10-17
        Statement:
          - Effect: Allow
            Principal:
              Service: codepipeline.amazonaws.com
            Action: sts:AssumeRole
      Policies:
        - PolicyName: root
          PolicyDocument:
            Version: 2012-10-17
            Statement:
              - Resource:
                  - !Sub arn:aws:s3:::${ArtifactBucket}/*
                Effect: Allow
                Action:
                  - s3:PutObject
                  - s3:GetObject
                  - s3:GetObjectVersion
                  - s3:GetBucketVersioning
              - Resource: "*"
                Effect: Allow
                Action:
                  - codebuild:StartBuild
                  - codebuild:BatchGetBuilds
              - Resource:
                  - !Sub arn:aws:s3:::${DeployBucket}/*
                Effect: Allow
                Action:
                  - s3:PutObject
                  - s3:PutObjectAcl
                  - s3:PutObjectVersionAcl

  GitHubSecret:
    Type: AWS::SecretsManager::Secret
    Properties:
      GenerateSecretString:
        SecretStringTemplate: "{}"
        GenerateStringKey: "SecretToken"
        ExcludePunctuation: true
        PasswordLength: 40

  PipelineWebhook:
    Type: AWS::CodePipeline::Webhook
    Properties:
      Authentication: GITHUB_HMAC
      AuthenticationConfiguration:
        SecretToken: !Sub "{{resolve:secretsmanager:${GitHubSecret}:SecretString:SecretToken}}"
      Filters:
        - JsonPath: "$.ref"
          MatchEquals: refs/heads/{Branch}
      TargetPipeline: !Ref Pipeline
      TargetAction: Github
      TargetPipelineVersion: !GetAtt Pipeline.Version
      RegisterWithThirdParty: true

Outputs:
  PipelineUrl:
    Value: !Sub https://console.aws.amazon.com/codepipeline/home?region=${AWS::Region}#/view/${Pipeline}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
version: 0.2

env:
  variables:
    HUGO_VERSION: "0.59.1"

phases:
  install:
    runtime-versions:
      golang: 1.13
    commands:
      - curl -Ls https://github.com/gohugoio/hugo/releases/download/v${HUGO_VERSION}/hugo_extended_${HUGO_VERSION}_Linux-64bit.tar.gz -o /tmp/hugo.tar.gz
      - tar xf /tmp/hugo.tar.gz -C /tmp
      - mv /tmp/hugo /usr/bin/hugo
  build:
    commands:
      - hugo
  post_build:
    commands:
      #      - aws s3 sync --delete public/ s3://${DEPLOY_BUCKET}
      - aws cloudfront create-invalidation --distribution-id ${DISTRIBUTION_ID} --paths "/*" --region ${AWS_DEFAULT_REGION}

artifacts:
  files:
    - "**/*"
  base-directory: public
  name: page-$(date +%Y-%m-%d)

備考

S3 への Deploy ステージ使わずに、CodeBuild 内で aws s3 sync すれば良いのではないかと思われるかもしれませんが、個人的にはその通りかなと思います。 CodeBuild で S3 にデプロイする方法のメリットは、1. aws s3 sync –delete オプションで不要なファイルを削除できる。2. CloudFront のキャッシュを Invalidation するタイミングがベストである点が挙げられます。特に、Invalidation はデプロイステージ後に行うことで、確実となりますが、この例では、デプロイ前に行うことになるため、タイミング的に最新のデプロイが反映されない可能性が挙げられます。ではなぜデプロイステージで S3 をするかですが、それはやってみたかったからとなります。その他、メリットがあればご指摘ください。

← → Top