彻底告别 AK/SK,用 OIDC 临时凭证实现 Git Tag 一键触发 → Docker 构建 → ECR 推送 → ECS 滚动更新 → 钉钉通知,15 分钟自动过期,安全合规两手抓。前言你的 ECS 部署流程是哪个阶段?阶段方式风险石器时代本地docker build→docker push→aws ecs update-service依赖本地环境,操作易错青铜时代deploy.sh一键脚本长期 AK/SK 存储在 CI 平台,泄露风险高黄金时代OIDC 临时凭证 + Tag 触发自动部署零密钥存储,15 分钟过期,审计可追溯本文记录从青铜到黄金的完整升级过程——GitHub Actions + OIDC + ECS 滚动更新。读完你将获得:一套可直接复