Terraform AWS GitHub Runner v5.11.0 版本发布：优化实例配置与权限管理

Terraform AWS GitHub Runner 是一个基于 AWS 基础设施的 GitHub Actions 自托管运行器解决方案，它通过 Terraform 自动化部署和管理运行器环境。该项目使开发团队能够在 AWS 云上灵活地扩展 GitHub Actions 的构建和测试能力，同时保持与 GitHub 生态系统的无缝集成。

最新发布的 v5.11.0 版本带来了两个重要的功能增强和一个关键的安全修复，进一步提升了运行器实例的配置灵活性和安全性边界。

EBS 优化实例配置支持

在 AWS 环境中，EBS 优化实例可以提供专用的 Amazon EBS I/O 带宽，这对于 I/O 密集型工作负载尤为重要。v5.11.0 版本新增了 enable_ebs_optimization 变量，允许用户根据工作负载特性灵活配置运行器实例的 EBS 优化选项。

这一特性特别适合以下场景：

• 运行持续集成/持续部署(CI/CD)流水线中涉及大量磁盘读写操作的任务
• 处理大型代码库或构建产物的场景
• 需要稳定且高性能磁盘 I/O 的编译密集型工作负载

用户现在可以在 Terraform 配置中简单设置此参数，即可为运行器实例启用 EBS 优化功能，无需手动修改实例配置或创建自定义 AMI。

SSM 权限精细化控制

安全始终是基础设施管理中的首要考虑因素。v5.11.0 版本对 AWS Systems Manager(SSM)的权限进行了更严格的限制，通过细化权限边界来遵循最小权限原则。

这一改进具体体现在：

• 精确控制运行器实例对 SSM 服务的访问权限
• 减少了潜在的攻击面，提高了整体安全性
• 符合企业级安全合规要求，如 SOC2、ISO27001 等

对于安全敏感型组织，这一变更意味着他们可以更自信地在生产环境中部署 GitHub Actions 运行器，同时满足内部安全策略和外部合规要求。

权限边界修复

在基础设施即代码(IaC)实践中，权限边界是确保资源安全的关键机制。v5.11.0 修复了之前版本中存在的权限边界配置遗漏问题，确保所有必要的权限都被正确包含在边界定义中。

这一修复：

• 防止了因权限不足导致的运行器操作失败
• 保持了权限配置的一致性和完整性
• 提升了运行器在各种操作场景下的可靠性

技术实现细节

从实现角度看，这些改进主要涉及以下方面的变更：

1. EBS 优化配置：通过扩展 Terraform 模块的变量定义，将 AWS EC2 的 EBS 优化选项暴露给用户配置。底层实现利用了 AWS EC2 实例的 ebs_optimized 属性。

2. SSM 权限控制：重构了 IAM 策略文档，精确指定了运行器实例与 SSM 服务交互所需的最小权限集，移除了宽泛的权限声明。

3. 权限边界修复：通过审计现有权限边界配置，识别并补充了缺失的权限声明，确保所有必要的操作都能在边界内执行。

升级建议

对于现有用户，升级到 v5.11.0 版本时需要注意：

1. 如果计划启用 EBS 优化功能，应评估工作负载特性并测试性能影响
2. 检查现有的 SSM 相关自动化流程，确保它们在新权限模型下仍能正常工作
3. 在非生产环境先行验证，特别是当使用严格权限边界时

这一版本继续保持了项目对安全性和灵活性的双重关注，为用户提供了更强大且更安全的 GitHub Actions 自托管运行器解决方案。无论是小型团队还是大型企业，都能从中受益，构建更高效、更安全的 CI/CD 流水线。