GitHub Actions OIDC 零密钥部署 ECS 实战：Tag 触发到滚动更新（6 个踩坑全记录）

彻底告别 AK/SK，用 OIDC 临时凭证实现 Git Tag 一键触发 → Docker 构建 → ECR 推送 → ECS 滚动更新 → 钉钉通知，15 分钟自动过期，安全合规两手抓。前言你的 ECS 部署流程是哪个阶段？阶段方式风险石器时代本地docker build→docker push→aws ecs update-service依赖本地环境，操作易错青铜时代deploy.sh一键脚本长期 AK/SK 存储在 CI 平台，泄露风险高黄金时代OIDC 临时凭证 + Tag 触发自动部署零密钥存储，15 分钟过期，审计可追溯本文记录从青铜到黄金的完整升级过程——GitHub Actions + OIDC + ECS 滚动更新。读完你将获得：一套可直接复