GitHub Actions + Amazon ECS CI/CD ハンズオン

AWS マネジメントコンソールで 「IAM」 を検索して開きます。左メニューの 「ID プロバイダー」→「プロバイダーを追加」 をクリックします。

「サムプリントを取得」をクリックします（自動入力されます）。

「プロバイダーを追加」をクリックします。

IAM コンソール → 「ロール」→「ロールを作成」 をクリックします。

「次へ」をクリックします。

以下のポリシーを検索してチェックします。

• AmazonEC2ContainerRegistryPowerUser — ECR への push 権限
• AmazonECS_FullAccess — ECS タスク定義・サービス更新権限

「ロールを作成」をクリックします。作成後、ロールの ARN（arn:aws:iam::<account-id>:role/github-actions-ecs-role）をメモします。

作成したロール → 「信頼関係」タブ → 「信頼ポリシーを編集」で以下の形式になっていることを確認します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::<account-id>:oidc-provider/token.actions.githubusercontent.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "token.actions.githubusercontent.com:aud": "sts.amazonaws.com"
        },
        "StringLike": {
          "token.actions.githubusercontent.com:sub": "repo:<GitHubユーザー名>/handson-app:ref:refs/heads/main"
        }
      }
    }
  ]
}

AWS マネジメントコンソールで 「Elastic Container Registry」 を開き 「リポジトリを作成」 をクリックします。

「リポジトリを作成」をクリックします。

作成後、URI（<account-id>.dkr.ecr.ap-northeast-1.amazonaws.com/handson-app）をメモします。

GitHub リポジトリ → 「Settings」→「Secrets and variables」→「Actions」→「Variables」タブ で以下の変数を追加します。

リポジトリに以下の 2 ファイルを追加します（CodePipeline ハンズオンと同じ内容を使用できます）。

app.js

const http = require('http');
const PORT = process.env.PORT || 3000;
const VERSION = process.env.APP_VERSION || 'v1.0';

const server = http.createServer((req, res) => {
  res.writeHead(200, { 'Content-Type': 'text/plain' });
  res.end(`Hello from GitHub Actions CI/CD! Version: ${VERSION}\n`);
});

server.listen(PORT, () => {
  console.log(`Server running on port ${PORT}`);
});

Dockerfile

FROM node:20-alpine
WORKDIR /app
COPY app.js .
EXPOSE 3000
CMD ["node", "app.js"]

リポジトリに .github/workflows/deploy.yml を以下の内容で作成します。

name: Deploy to Amazon ECS

on:
  push:
    branches:
      - main

env:
  AWS_REGION: ${{ vars.AWS_REGION }}
  ECR_REGISTRY: ${{ vars.AWS_ACCOUNT_ID }}.dkr.ecr.${{ vars.AWS_REGION }}.amazonaws.com
  ECR_REPOSITORY: ${{ vars.ECR_REPOSITORY }}
  ECS_CLUSTER: ${{ vars.ECS_CLUSTER }}
  ECS_SERVICE: ${{ vars.ECS_SERVICE }}
  ECS_TASK_DEFINITION: ${{ vars.ECS_TASK_DEFINITION }}
  CONTAINER_NAME: ${{ vars.CONTAINER_NAME }}

jobs:
  deploy:
    name: Build and Deploy
    runs-on: ubuntu-latest

    # OIDC トークン発行に必要な permissions
    permissions:
      id-token: write   # OIDC トークン取得に必要
      contents: read    # リポジトリ読み取りに必要

    steps:
      # 1. ソースコードを取得
      - name: Checkout
        uses: actions/checkout@v4

      # 2. AWS 認証（OIDC）
      - name: Configure AWS credentials
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: ${{ vars.IAM_ROLE_ARN }}
          aws-region: ${{ env.AWS_REGION }}

      # 3. ECR にログイン
      - name: Login to Amazon ECR
        id: login-ecr
        uses: aws-actions/amazon-ecr-login@v2

      # 4. Docker ビルド・タグ付け・ECR プッシュ
      - name: Build, tag, and push image to ECR
        id: build-image
        run: |
          IMAGE_URI=$ECR_REGISTRY/$ECR_REPOSITORY:${{ github.sha }}
          docker build -t $IMAGE_URI .
          docker push $IMAGE_URI
          echo "image=$IMAGE_URI" >> $GITHUB_OUTPUT

      # 5. 現在のタスク定義を JSON ファイルとして取得
      - name: Download current task definition
        run: |
          aws ecs describe-task-definition \
            --task-definition $ECS_TASK_DEFINITION \
            --query taskDefinition > task-definition.json

      # 6. タスク定義の image を新しいものに差し替え
      - name: Render new task definition
        id: task-def
        uses: aws-actions/amazon-ecs-render-task-definition@v1
        with:
          task-definition: task-definition.json
          container-name: ${{ env.CONTAINER_NAME }}
          image: ${{ steps.build-image.outputs.image }}

      # 7. ECS サービスを更新してデプロイ
      - name: Deploy to ECS
        uses: aws-actions/amazon-ecs-deploy-task-definition@v2
        with:
          task-definition: ${{ steps.task-def.outputs.task-definition }}
          service: ${{ env.ECS_SERVICE }}
          cluster: ${{ env.ECS_CLUSTER }}
          wait-for-service-stability: true

ワークフローファイルを含めてリポジトリに push すると Actions が自動起動します。

GitHub リポジトリ → 「Actions」タブ → 最新の実行をクリックします。各ステップのログが確認できます。

app.js のバージョンを変更してプッシュし、ECS サービスに新しいバージョンが自動デプロイされることを確認します。

// v1.0 → v2.0 に変更
const VERSION = process.env.APP_VERSION || 'v2.0';

Actions が完了後、ALB の DNS 名にアクセスして Version: v2.0 が表示されれば成功です。