ECR のコンテナイメージで動作する AWS Lambda を GitHub Actions からデプロイする

はじめに

コマンドラインツールをインストールして Lambda で実行するため、ECR のコンテナイメージで動作する AWS Lambda を実装し、GitHub Actions からデプロイする機会がありましたので、その手順を記載します。

GitHub Actions から AWS SAM を実行して、AWS Lambda のデプロイを行います。

やること

AWS Lambda へデプロイするプログラムをローカルでテストする環境を構築
Github Actions からデプロイする設定
Lambda テスト実行

AWS Lambda へデプロイするプログラムをローカルでテストする環境を構築

準備

準備するファイルとフォルダ構成
VSCode Dev Container を使ってローカルでテストする環境を作成します。

|--.devcontainer
| |--devcontainer.json
|--.vscode
| |--extensions.json
| |--launch.json
| |--settings.json
|--Dockerfile
|--lambda
| |--app.py
| |--requirements.txt

.devcontainer/devcontainer.json
コンテナ内で Python のデバッグができる様に VSCode の拡張機能をインストールする指定を入れています。
Lambda 実行プログラムの配置先である「/var/task」をカウントしています。

{
    "name": "lambda_ecr",
    "build": {
        "dockerfile": "${localWorkspaceFolder}/Dockerfile",
        "args": {}
    },
    "runArgs": [
        "--name=lambda_ecr",
        "--volume=${localWorkspaceFolder}/lambda:/var/task",
        "--volume=${localWorkspaceFolder}/.vscode:/var/task/.vscode"
    ],
    "workspaceFolder": "/var/task",
    "customizations": {
        "vscode": {
            "extensions": [
                "ms-python.autopep8",
                "ms-python.python",
                "ms-python.vscode-pylance",
            ]
        }
    }
}

.vscode/extensions.json
コンテナ外で使用する VSCode の拡張機能を定義しています。

{
    "recommendations": [
        "ms-python.autopep8",
        "ms-python.python",
        "ms-python.vscode-pylance",
        "ms-vscode-remote.remote-containers"
    ]
}

.vscode/launch.json
Docker 内でデバッグ起動する際に使用します。

{
    "version": "0.2.0",
    "configurations": [
        {
            "name": "Python: Lambda",
            "type": "debugpy",
            "request": "launch",
            "program": "${workspaceFolder}/app.py",
            "console": "integratedTerminal",
            "args": []
        }
    ]
}

.vscode/settings.json
フォーマット定義

{
    "editor.tabSize": 4,
    "editor.renderWhitespace": "all",
    "terminal.integrated.scrollback": 10000,
    "extensions.ignoreRecommendations": false,
    "editor.formatOnSave": true,
    "editor.formatOnPaste": true,
    "": {
        "editor.defaultFormatter": "ms-python.autopep8",
        "editor.formatOnSave": true
    },
}

lambda/app.py
Lambdaメイン処理
「python app.py」で実行できる様に、if __name__ == "__main__":を定義しています。

import json


def lambda_handler(event, context):
    """
    Lambdaメイン処理
    """
    print(json.dumps(event, ensure_ascii=False))
    return {
        'statusCode': 200,
        'body': 'Hello World!',
    }


if __name__ == "__main__":
    event = {}
    context = {}
    print(lambda_handler(event, context))

lambda/requirements.txt
ライブラリインポート用
空のファイルを準備します。

Dockerfile
tar と gzip は、コンテナ内で VSCode の拡張機能をインストールするために必要です。

FROM public.ecr.aws/lambda/python:3.12

RUN set -ex \
 && dnf -y update \
 && dnf install -y tar gzip

COPY lambda/ ${LAMBDA_TASK_ROOT} 

RUN pip3 install -r requirements.txt

ENV \
 TZ='Asia/Tokyo'

CMD [ "app.lambda_handler" ]

Dev Container起動

左下「><」アイコンをクリックして、「コンテナを再度開く」を選択します。

左メニューの拡張機能アイコンをクリック、「@recommended 」を入力して推奨される拡張機能の一覧を表示して、「ワークスペースのおすすめの拡張機能をインストール」を実行してインストールします。

デバッグ起動

左メニューのデバッグアイコンをクリック、ブレークポイントを設定してデバッグ起動するとブレークポイントで止まることを確認します。

Github Actions からデプロイする設定

GitHub Actions から AWS へアクセスするため GitHub ID プロバイダ作成

GitHub Actions で IAM ロールを利用して AWS へアクセスするために、ID プロバイダを登録します。一時的なクレデンシャルを利用して GitHub Actions から AWS へアクセスするためよりセキュアに接続することができます。
IAM から、アクセス管理 – プロバイダを追加を実行します。
プロバイダの URL：OpneID Connect
プロバイダーの URL: https://token.actions.githubusercontent.com
対象者: sts.amazonaws.com

GitHub Actions 用の IAM ポリシー、IAM ロール作成

IAM で、GitHub Actions 用のIAMポリシーを作成します。下記権限のポリシーをポリシー名「lambda-ecr-deploy-policy」で作成します。

CloudFormation テンプレートファイルを S3 へ格納するため S3 の権限が必要
CloudFormation を実行する権限が必要
Lambda に対する権限が必要
ECR プッシュする権限が必要
(この例では必要なかったが)CloudFormation テンプレートファイルで IAM に関する定義がある場合は権限が必要

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "0",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::lambda-ecr-deploy-{AWSアカウントID}/*"
        },
        {
            "Sid": "1",
            "Effect": "Allow",
            "Action": "cloudformation:*",
            "Resource": [
                "arn:aws:cloudformation:ap-northeast-1:{AWSアカウントID}:stack/lambda-ecr-deploy-stack/*",
                "arn:aws:cloudformation:ap-northeast-1:aws:transform/Serverless-2016-10-31"
            ]
        },
        {
            "Sid": "2",
            "Effect": "Allow",
            "Action": "lambda:*",
            "Resource": [
                "arn:aws:lambda:ap-northeast-1:{AWSアカウントID}:function:lambda-ecr-deploy"
            ]
        },
        {
            "Sid": "3",
            "Effect": "Allow",
            "Action": [
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:GetRepositoryPolicy",
                "ecr:DescribeRepositories",
                "ecr:ListImages",
                "ecr:DescribeImages",
                "ecr:BatchGetImage",
                "ecr:GetLifecyclePolicy",
                "ecr:GetLifecyclePolicyPreview",
                "ecr:ListTagsForResource",
                "ecr:DescribeImageScanFindings"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "4",
            "Effect": "Allow",
            "Action": [
                "ecr:BatchCheckLayerAvailability",
                "ecr:InitiateLayerUpload",
                "ecr:UploadLayerPart",
                "ecr:CompleteLayerUpload",
                "ecr:PutImage"
            ],
            "Resource": [
                "arn:aws:ecr:ap-northeast-1:{AWSアカウントID}:repository/lambda-ecr-deploy-ecr"
            ]
        },
        {
            "Sid": "5",
            "Effect": "Allow",
            "Action": [
                "iam:CreateRole",
                "iam:DetachRolePolicy",
                "iam:AttachRolePolicy",
                "iam:GetRole",
                "iam:DeleteRole",
                "iam:PassRole"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

IAM で、GitHub Actions 用の IAM ロールを作成します。下記権限のポリシーをポリシー名「lambda-ecr-deploy-role」で作成します。
信頼されたエンティティタイプ：カスタム信頼ポリシー
カスタム信頼ポリシー

IDプロバイダーを使用すること宣言
接続するGitHubリポジトリを定義

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::{AWSアカウントID}:oidc-provider/token.actions.githubusercontent.com"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "token.actions.githubusercontent.com:aud": "sts.amazonaws.com"
                },
                "StringLike": {
                    "token.actions.githubusercontent.com:sub": "repo:{GitHubリポジトリ}:*"
                }
            }
        }
    ]
}

Lambda 用のIAMポリシー、IAMロール作成

IAM で、Lambda 用のIAMポリシーを作成します。下記権限のポリシーをポリシー名「lambda-ecr-deploy-run-policy」で作成します。

LambdaからCloudWatchへログ出力するのに必要な権限のみ定義

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "0",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        }
    ]
}

IAM で、Lambda 用の IAM ロールを作成します。下記権限のポリシーをポリシー名「lambda-ecr-deploy-run-role」で作成します。
信頼されたエンティティタイプ：AWS のサービス
サービスまたはユースケース：Lambda

ECR リポジトリ作成

ECR 名「lambda-ecr-deploy-ecr」、プライベートな ECR 定義を作成します。

S3 バケット作成

バケット名「lambda-ecr-deploy-{AWSアカウントID}」で作成します。

Lambda 用の CloudFormation テンプレート作成

ファイルを追加して、Lambda 用の CloudFormation テンプレートを作成します。

|--.devcontainer
|  |--devcontainer.json
|--.vscode
|  |--extensions.json
|  |--launch.json
|  |--settings.json
|--Dockerfile
|--lambda
|  |--app.py
|  |--requirements.txt
|--lambda-stack.yaml　←　★追加★

lambda-stack.yaml
Lambda 本体の定義のみで、作成済みの IAM ロールと ECR リポジトリを指定しています。ImageConfig\Command で実行する Lambda 関数を指定しています。

AWSTemplateFormatVersion: "2010-09-09"
Transform: AWS::Serverless-2016-10-31

Parameters:
  Project:
    Type: String
  AccountId:
    Type: String

Resources:
  EcrFunction:
    Type: AWS::Serverless::Function
    Properties:
      FunctionName: !Sub ${Project}
      CodeUri: lambda/
      Role: !Sub arn:aws:iam::${AWS::AccountId}:role/${Project}-run-role
      PackageType: Image
      ImageUri: !Sub ${AWS::AccountId}.dkr.ecr.ap-northeast-1.amazonaws.com/${Project}-ecr:latest
      ImageConfig:
        Command:
          - "app.lambda_handler"

GitHub Actions 定義作成

ファイルを追加して、GitHub Actions 用のワークフローファイルを作成します。

|--.devcontainer
|  |--devcontainer.json
|--.github
|  |--workflows
|  |  |--lambda_deploy_dev.yaml　←　★追加★
|--.vscode
|  |--extensions.json
|  |--launch.json
|  |--settings.json
|--Dockerfile
|--lambda
|  |--app.py
|  |--requirements.txt
|--lambda-stack.yaml

lambda_deploy_dev.yaml
処理の流れは

GitHub 資源チェックアウト
GitHub 用 IAM ロールのセッション受入
ECR ログイン
Docker ビルド
ECR へDocker イメージプッシュ
AWS SAM コマンドで Lambda デプロイ
Lambda の新しいイメージをデプロイ実行(ECR へ Docker イメージプッシュしただけでは、Lambda の参照 ECR イメージは最新化されないため、最新化するコマンドを実行する)

name: Lambda Deploy Development
on:
  workflow_dispatch:

env:
  AWS_ACCOUNT_ID: {AWSアカウントID}
  AWS_IAM_ROLE_ARN: arn:aws:iam::{AWSアカウントID}:role/lambda-ecr-deploy-role
  AWS_DEFAULT_REGION: ap-northeast-1
  PROJECT: lambda-ecr-deploy
  SAM_CLI_TELEMETRY: 1

jobs:
  deploy:
    runs-on: ubuntu-latest
    permissions:
      id-token: write
      contents: read

    steps:
      - uses: actions/checkout@v4
      - uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: ${{ env.AWS_IAM_ROLE_ARN }}
          role-session-name: github-actions-${{ github.run_id }}
          aws-region: ${{ env.AWS_DEFAULT_REGION }}

      - run: aws sts get-caller-identity

      - name: Login to Amazon ECR
        id: login-ecr
        uses: aws-actions/amazon-ecr-login@v2

      - name: Build Docker
        working-directory: ./
        run: |
          docker build -t ${{ env.PROJECT }}-ecr -f ./Dockerfile .
          docker tag ${{ env.PROJECT }}-ecr:latest ${AWS_ACCOUNT_ID}.dkr.ecr.ap-northeast-1.amazonaws.com/${{ env.PROJECT }}-ecr:latest

      - name: Push Image to Amazon ECR
        working-directory: ./
        run: |
          docker push ${AWS_ACCOUNT_ID}.dkr.ecr.ap-northeast-1.amazonaws.com/${{ env.PROJECT }}-ecr:latest

      - name: ECR Lambda Stack
        env:
          STACK_NAME: ${{ env.PROJECT }}-stack
          TEMPLATE_NAME: lambda-stack.yaml
        working-directory: ./
        run: |
          sam build --use-container \
            --template-file ${TEMPLATE_NAME}
          sam deploy --no-confirm-changeset \
            --stack-name ${STACK_NAME} \
            --template-file ${TEMPLATE_NAME} \
            --s3-bucket ${{ env.PROJECT }}-${AWS_ACCOUNT_ID} \
            --image-repository ${AWS_ACCOUNT_ID}.dkr.ecr.ap-northeast-1.amazonaws.com/${{ env.PROJECT }}-ecr \
            --parameter-overrides Project=${{ env.PROJECT }} AccountId=${AWS_ACCOUNT_ID} \
            --capabilities CAPABILITY_IAM \
            --no-fail-on-empty-changeset

      - name: Lambda Renew Image
        run: |
          aws lambda update-function-code \
            --function-name ${{ env.PROJECT }} \
            --image-uri ${AWS_ACCOUNT_ID}.dkr.ecr.ap-northeast-1.amazonaws.com/${{ env.PROJECT }}-ecr:latest

GitHub Actions 実行

GiHub Actions のリポジトリで、「Actions」タブ押下、左メニューのワークフロー名押下、「Run workflow」押下、該当の Branch を選択して、「Run workflow」押下して、GitHub Actions を実行し、
GiHub Actions が正常終了することを確認します。

Lambda テスト実行

GiHub Actions 正常終了後、Lambda「lambda-ecr-deploy」がデプロイされていることを確認した後に、
イベント名：任意の値
イベントJSON：{}(任意のJSON値)
を入力して「テスト」ボタン押下してテスト実行し、正常に下記が出力されていることを確認します。

{
  "statusCode": 200,
  "body": "Hello World!"
}

ECR のコンテナイメージで動作する AWS Lambda を GitHub Actions からデプロイし、テスト実行できるまでできました！

ECR のコンテナイメージで動作する AWS Lambda を GitHub Actions からデプロイする

はじめに

やること

AWS Lambda へデプロイするプログラムをローカルでテストする環境を構築

準備

Dev Container起動

デバッグ起動

Github Actions からデプロイする設定

GitHub Actions から AWS へアクセスするため GitHub ID プロバイダ作成

GitHub Actions 用の IAM ポリシー、IAM ロール作成

Lambda 用のIAMポリシー、IAMロール作成

ECR リポジトリ作成

S3 バケット作成

Lambda 用の CloudFormation テンプレート作成

GitHub Actions 定義作成

GitHub Actions 実行

Lambda テスト実行

AWS Backupの復元テスト機能でFSx for Windows File Serverのリストア自動化ができなかった話

Arduinoを初めて使う時のセットアップと実例集

Vertex AI GeminiでGitリポジトリを丸ごと解析！コンテキストキャッシュを利用したマルチモーダル活用

Google Cloud 認定資格のグッズ申請をしてみた

Alexaで色々な作業を自動化しよう大作戦(windows導入編)

ECR のコンテナイメージで動作する AWS Lambda を GitHub Actions からデプロイする

はじめに

やること

AWS Lambda へデプロイするプログラムをローカルでテストする環境を構築

準備

Dev Container起動

デバッグ起動

Github Actions からデプロイする設定

GitHub Actions から AWS へアクセスするため GitHub ID プロバイダ作成

GitHub Actions 用の IAM ポリシー、IAM ロール作成

Lambda 用のIAMポリシー、IAMロール作成

ECR リポジトリ作成

S3 バケット作成

Lambda 用の CloudFormation テンプレート作成

GitHub Actions 定義作成

GitHub Actions 実行

Lambda テスト実行

関連記事Related Articles

ClamAVをAWS Lambdaで動かす

S3のPUTをトリガにLambdaを起動させる 【CloudFormation】

[ハンズオン] ECS を使って nginxのDockerコンテナをデプロイしよう

ECR Login Error “Cannot perform an interactive login from a non TTY device”

Ubuntu(WSL)にDockerインストール & イメージ作成方法まとめ

S3のPUTをトリガにLambdaを起動させる【CloudFormation】