GitHub への push イベントを SNS で受け取って、「<リポジトリ名>:<ブランチ名>:<実行スクリプト>」というタグが付いている EC2 インスタンスを探して指定スクリプトを実行する、という話です。

で、スクリプト内で "git pull" するもヨシ、追加でごにょごにょするもヨシ。

前置き

CircleCI とかそんなんでなく、GitHub に push したら pull してくれればそれでいいんですよ、というケースは地味に多いわけです。

これは GitHub > SNS > Lambda > Run Command でスクリプト実行すれば良いのですが、「じゃぁリポジトリ毎に Lambda ファンクション作るの？」って話で。

そこで EC2 タグに関連するリポジトリ名とブランチ名、実行スクリプトを書いておけば 1つの lambda が全て面倒みてくれるようにします。

リポジトリが増えた時、サーバが増えた時も EC2 インスタンスにタグ付けるだけなので簡単です。

仕組み

GitHub > SNS > Lambda はいろいろな方がやられている通り。
あとは EC2 インスタンスに

key = GitHub-Webhook
val = <リポジトリ名>:<ブランチ名>:<実行スクリプト>

というタグをつけておいて、lambda で対象 EC2 インスタンスを探して Rum Command でスクリプトを実行する。
で、スクリプトの中で git pull とか好きにせい、という構成。

例えば repo_1 というリポジトリの master に push したら、「key=GitHub-Webhook、val=repo_1:master:/hoge/hoge.sh」というタグが付いている EC2 インスタンスの /hoge/hoge.sh を実行します。

作る

SSM エージェントをインストールする

Run Command を実行するには対象インスタンスに SSM エージェントを入れておく必要があります。

SSMエージェントのインストール

40秒で支度しましょう。

$ cd /tmp
$ curl https://s3.amazonaws.com/ec2-downloads-windows/SSMAgent/latest/linux_amd64/amazon-ssm-agent.rpm -o amazon-ssm-agent.rpm
$ sudo yum install -y amazon-ssm-agent.rpm

EC2ロール割り当て

で、EC2 インスタンスに AmazonEC2RoleforSSM ポリシーをアタッチしておく。

SNS topic、GitHub webhook 専用 IAM ユーザの作成、GitHub の設定

「github-webhook」という SNS topic を作ります。
CLI でシュッと。

$ aws sns create-topic --name github-webhook

GitHub webhook 用に「github-webhook」という名前の IAM ユーザを作って、以下のようなインラインポリシーを付ける。
つまり github-webhook topic にパブリッシュする事しかできないユーザ。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "sns:Publish"
            ],
            "Sid": "Stmt0000000000000",
            "Resource": [
                "[さっき作った SNS の ARN]"
            ],
            "Effect": "Allow"
        }
    ]
}

で、GitHub 側もぱぱっと。

Lambda 準備

特になんもしてない。
エラー処理もないのでやさしく使う。

# -*- coding: utf-8 -*-

import json
import boto3

# key="GitHub-Webhook", val=<repoName>:<branchName>:<command>
# というタグを持つインスタンスを列挙する。
def search_target_instance(repoName, branchName):
    # 実行中の EC2 インスタンスを取得
    ec2 = boto3.client('ec2')
    response = ec2.describe_instances(
        Filters=[
            {
                'Name': 'instance-state-name',
                'Values': ['running']
            }
        ]
    )
    
    targetInstances = []
    
    for resv in response['Reservations']:
        for instance in resv['Instances']:
            for tag in instance['Tags']:
                if tag['Key'] == 'GitHub-Webhook':
                    tagValue = tag['Value']
                    
                    if tagValue.startswith(repoName + ":" + branchName + ":"):
                        target = instance['InstanceId'], tagValue.split(':')[-1]
                        targetInstances.append(target)

    return targetInstances

# Run Command で指定スクリプトを実行する。
def execute_command(instanceId, command):
    print instanceId + " : " + command
    ssm = boto3.client('ssm')
    
    ssmRes = ssm.send_command(
        InstanceIds = [instanceId],
        DocumentName = "AWS-RunShellScript",
        Parameters = {
            "commands": [ command ]
        })
    
    commandId = ssmRes['Command']['CommandId']
    return commandId

# Lambda エントリポイント
def lambda_handler(event, context):
    message = event['Records'][0]['Sns']['Message']
    gitHubJson = json.loads(message)
    
    # SNS からリポジトリ名とブランチ名を取得する。
    repoName = gitHubJson["repository"]["name"]
    branchName = gitHubJson["ref"].replace('refs/heads/', '')
    
    # デプロイ対象 EC2 インスタンスを取得
    targetInstances = search_target_instance(repoName, branchName)

    # EC2 タグで指定されているコマンドを実行する
    for instance in targetInstances:
        instanceId, command = instance
        print execute_command(instanceId, command)

    return {'status': 'ok'}

EC2 タグつけて push

ココまで来たら、タグ付けて GitHub に push すればよい。
Run Command の結果は AWS コンソールの EC2 / Run Command から確認できます。

※ スクリプトは root で実行されるので注意。

結果はどうやって知るのよ？

本当は list_command_invocations() で Run Command の結果をみて Slack に通知とかすべきですが長くなるので割愛。

とりあえずスクリプト内から curl で slack に post しても良いかもしれないですね。

結論

大切なこと：「ssh ログインなんか絶対にしないぞ！」という強い意思。