Esta es la guía para AWS CDK desarrolladores de la versión 2. La versión anterior del CDK v1 entró en mantenimiento el 1 de junio de 2022 y dejó de ofrecer soporte el 1 de junio de 2023.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Inicie su entorno para usarlo con AWS CDK

Inicie su AWS entorno para prepararlo para las implementaciones de pilas. AWS Cloud Development Kit (AWS CDK)

Cómo arrancar su entorno

Puede utilizar la interfaz de línea de AWS CDK comandos (AWS CDK CLI) o la herramienta de AWS CloudFormation implementación que prefiera para arrancar su entorno.

Utilice el CDK CLI

Puede usar el CLI cdk bootstrap comando CDK para arrancar su entorno. Este es el método que recomendamos si no necesita realizar modificaciones importantes en el arranque.

Para obtener más información sobre el cdk bootstrap comando y las opciones compatibles, consultecdk bootstrap.

Utilice cualquier AWS CloudFormation herramienta

Puede copiar la plantilla de arranque del GitHubrepositorio aws-cdk u obtener la plantilla con el comando. cdk bootstrap --show-template A continuación, utilice cualquier AWS CloudFormation herramienta para implementar la plantilla en su entorno.

Con este método, puede usar AWS CloudFormation StackSets o AWS Control Tower. También puede utilizar la AWS CloudFormation consola o el AWS Command Line Interface (AWS CLI). Puede realizar modificaciones en la plantilla antes de implementarla. Este método puede ser más flexible y adecuado para despliegues a gran escala.

A continuación, se muestra un ejemplo del uso de la --show-template opción para recuperar y guardar la plantilla de arranque en su máquina local:

macOS/Linux

$ cdk bootstrap --show-template > bootstrap-template.yaml

Windows

En Windows, PowerShell debe usarse para conservar la codificación de la plantilla.

powershell "cdk bootstrap --show-template | Out-File -encoding utf8 bootstrap-template.yaml"

Para implementar esta plantilla mediante el CDKCLI, puede ejecutar lo siguiente:

$ cdk bootstrap --template bootstrap-template.yaml

El siguiente es un ejemplo del uso de AWS CLI para implementar la plantilla:

macOS/Linux

aws cloudformation create-stack \
  --stack-name CDKToolkit \
  --template-body file://path/to/bootstrap-template.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-west-1

Windows

aws cloudformation create-stack ^
  --stack-name CDKToolkit ^
  --template-body file://path/to/bootstrap-template.yaml ^
  --capabilities CAPABILITY_NAMED_IAM ^
  --region us-west-1

Para obtener información sobre cómo iniciar varios entornos, consulte Cómo iniciar varios entornos Cuentas de AWS para su uso CloudFormation StackSets en el blog de operaciones y AWS CDK CloudFormation StackSets migraciones en la nube de AWS.

¿Cuándo iniciar su entorno

Debe arrancar cada entorno antes de implementarlo en el entorno. Si intenta implementar una pila de CDK en un entorno que no se haya iniciado, aparecerá un error como el siguiente:

$ cdk deploy

✨  Synthesis time: 2.02s

 ❌ Deployment failed: Error: BootstrapExampleStack: SSM parameter /cdk-bootstrap/hnb659fds/version not found. Has the environment been bootstrapped? Please run 'cdk bootstrap' (see https://docs.aws.amazon.com/cdk/latest/guide/bootstrapping.html)

Está bien iniciar un entorno más de una vez. Si un entorno ya se ha iniciado, la pila de arranque se actualizará si es necesario. De lo contrario, no pasará nada.

Actualiza tu pila de bootstrap

Periódicamente, el equipo de CDK actualizará la plantilla de bootstrap a una nueva versión. Cuando esto suceda, le recomendamos que actualice su pila de bootstrap. Si no ha personalizado el proceso de arranque, puede actualizar su pila de arranque siguiendo los mismos pasos que siguió para arrancar su entorno originalmente. Para obtener más información, consulte Historial de versiones de la plantilla Bootstrap.

Personalice el arranque

Si la plantilla de arranque predeterminada no se ajusta a sus necesidades, puede personalizar la transferencia de recursos a su entorno de las siguientes maneras:

Para obtener más información sobre la personalización del arranque, consulte. Personaliza el AWS CDK bootstrapping

Puesta en marcha con CDK Pipelines

Si utilizas CDK Pipelines para realizar la implementación en el entorno de otra cuenta y recibes un mensaje como el siguiente:

Policy contains a statement with one or more invalid principals

Este mensaje de error significa que las funciones de IAM adecuadas no existen en el otro entorno. La causa más probable es que el entorno no se haya iniciado. Inicie el entorno e inténtelo de nuevo.

Proteja su pila de bootstrap para que no se elimine

Si se elimina una pila de bootstrap, también se eliminarán los AWS recursos que se aprovisionaron originalmente en el entorno para respaldar las implementaciones de CDK. Esto hará que la canalización deje de funcionar. Si esto sucede, no existe una solución general para la recuperación.

Una vez iniciado el entorno, no elimine ni vuelva a crear la pila de arranque del entorno. En su lugar, intente actualizar la pila de arranque a una nueva versión ejecutando el comando de nuevo. cdk bootstrap

Para evitar que se elimine accidentalmente la pila de bootstrap, le recomendamos que proporcione la --termination-protection opción junto con el cdk bootstrap comando para habilitar la protección de terminación. Puede activar la protección de terminación en pilas de bootstrap nuevas o existentes. Para obtener instrucciones sobre cómo habilitar la protección de terminación, consulte Habilitar la protección de terminación para la pila de arranque.

Historial de versiones de la plantilla Bootstrap

La plantilla bootstrap está versionada y evoluciona con el tiempo consigo misma. AWS CDK Si proporciona su propia plantilla de bootstrap, manténgala actualizada con la plantilla canónica predeterminada. Quieres asegurarte de que tu plantilla siga funcionando con todas las funciones de CDK.

Esta sección contiene una lista de los cambios realizados en cada versión.

Actualice una plantilla de bootstrap antigua a una moderna

La AWS CDK versión 1 admitía dos plantillas de arranque, la antigua y la moderna. CDK v2 solo admite la plantilla moderna. Como referencia, estas son las diferencias de alto nivel entre estas dos plantillas.

* Agregaremos recursos adicionales a la plantilla de bootstrap según sea necesario.

Un entorno que se inició con la plantilla anterior debe actualizarse para utilizar la plantilla moderna de CDK v2 mediante el reinicio. Vuelva a implementar todas las AWS CDK aplicaciones del entorno al menos una vez antes de eliminar el bucket antiguo.

Abordar las conclusiones de Security Hub

Si lo está utilizando AWS Security Hub, es posible que vea los resultados de algunos de los recursos creados por el proceso de AWS CDK arranque. Los resultados de Security Hub le ayudan a encontrar configuraciones de recursos que debe comprobar para garantizar su precisión y seguridad. Hemos revisado estas configuraciones de recursos específicas con AWS Security y estamos seguros de que no constituyen un problema de seguridad.

[KMS.2] Los directores de IAM no deberían tener políticas integradas de IAM que permitan realizar acciones de descifrado en todas las claves de KMS

La función de despliegue (DeploymentActionRole) otorga permiso para leer datos cifrados, lo cual es necesario para las implementaciones entre cuentas con CDK Pipelines. Las políticas de esta función no otorgan permisos a todos los datos. Solo concede permiso para leer datos cifrados de Amazon S3 y AWS KMS solo cuando esos recursos lo permiten a través de su política de bucket o clave.

A continuación, se incluye un fragmento de estas dos afirmaciones sobre la función de despliegue de la plantilla de arranque:

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...

¿Por qué Security Hub marca esto?

Las políticas contienen una Condition cláusula Resource: * combinada con una. Security Hub marca el * comodín. Este comodín se utiliza porque, en el momento en que se inicia la cuenta, la AWS KMS clave creada por CDK Pipelines para CodePipeline el depósito de artefactos aún no existe y, por lo tanto, ARN no puede hacer referencia a ella en la plantilla de arranque. Además, Security Hub no tiene en cuenta la Condition cláusula al levantar esta bandera. Esto Condition se limita Resource: * a las solicitudes realizadas desde Cuenta de AWS la misma AWS KMS clave. Estas solicitudes deben provenir de Amazon S3 junto con Región de AWS la AWS KMS clave.

¿Debo corregir este hallazgo?

Mientras no hayas modificado la AWS KMS clave de tu plantilla de bootstrap para que sea demasiado permisiva, la función de despliegue no permitirá más acceso del que necesita. Por lo tanto, no es necesario corregir este hallazgo.

¿Qué sucede si quiero corregir este hallazgo?

La forma de solucionar este problema dependerá de si utilizará o no CDK Pipelines para despliegues entre cuentas.

Consideraciones

Dado que el arranque aprovisiona los recursos de su entorno, puede incurrir en AWS cargos si esos recursos se utilizan con el. AWS CDK