deployment

這陣子在弄 AWS CodeDeploy，調整了半天才把權限壓低到合理的範圍 (AWS 給的預設值還是有點大)，記錄下來之後會比較好找...

在權限部份，AWS CodeDeploy 應該有三個權限要設定：

IAM user：給 CI 跑完後丟上 Amazon S3 並且呼叫 AWS CodeDeploy 佈署用的，像是 Travis CI 或是之類的服務。但如果是手動到 web console 觸發的話，這個部份就不需要了。
Service Role：給 AWS CodeDeploy 的服務本身用的。
EC2 Role：給跑在機器上 AWS CodeDeploy Agent 用的。

如同前面講的，IAM user 的部份有兩個要處理，一個是讓 CI 服務把檔案傳上 Amazon S3，另外一個是讓他有權限可以呼叫 AWS CodeDeploy 佈署新版本。

後者比較簡單，直接拉 AWSCodeDeployDeployerAccess 就可以了，前者比較麻煩一點，需要透過 Policy Generator 建出對應的權限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1486156178000",
            "Effect": "Allow",
            "Action": [
                "s3:*"
            ],
            "Resource": [
                "arn:aws:s3:::codedeploy-testbucket/*"
            ]
        }
    ]
}

第二個的 Service Role 是最簡單的，直接拉 AWSCodeDeployRole 就可以了。

第三個的 EC2 Role 只需要給存取 Amazon S3 的權限。照 AWS 的建議用 AmazonEC2RoleforAWSCodeDeploy 是會動啦，但權限給太大了，整個帳號可以存取的 S3 bucket 他都可以拉到：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "s3:GetObject",
        "s3:GetObjectVersion",
        "s3:ListObjects"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

改成自己用 Policy Generator 生，限制在 codedeploy-testbucket 上會比較好：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1486165995000",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::codedeploy-testbucket/*"
            ]
        }
    ]
}

這樣權限的部份就差不多了...

AWS CodeDeploy 推出了 BlueGreenDeployment 的功能：「AWS CodeDeploy Introduces Blue/Green Deployments」。

BlueGreenDeployment 的目的不計成本想辦法把上線的 downtime 壓到最低，而且當出問題時 rollback 的時間壓到最低的方法：

One of the challenges with automating deployment is the cut-over itself, taking software from the final stage of testing to live production. You usually need to do this quickly in order to minimize downtime.

Blue-green deployment also gives you a rapid way to rollback - if anything goes wrong you switch the router back to your blue environment.

其實就是直接跑兩個環境 (所以成本比較高)，一套跑舊的一套跑新的，然後在前面的 load balancer 切換：

The blue-green deployment approach does this by ensuring you have two production environments, as identical as possible.

Tag: deployment

AWS CodeDeploy 支援 BlueGreenDeployment