Ceci est le guide du AWS CDK développeur de la version 2. L'ancienne CDK version 1 est entrée en maintenance le 1er juin 2022 et a pris fin le 1er juin 2023.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Démarrez votre environnement pour l'utiliser avec AWS CDK

Démarrez votre AWS environnement pour le préparer aux déploiements de AWS Cloud Development Kit (AWS CDK) stack.

Comment démarrer votre environnement

Vous pouvez utiliser l'interface de ligne de AWS CDK commande (AWS CDK CLI) ou votre outil de AWS CloudFormation déploiement préféré pour démarrer votre environnement.

Utilisez le CDK CLI

Vous pouvez utiliser la CDK CLI cdk bootstrap commande pour démarrer votre environnement. C'est la méthode que nous recommandons si vous n'avez pas besoin de modifications importantes au démarrage.

Pour plus d'informations sur la cdk bootstrap commande et les options prises en charge, consultezcdk bootstrap.

Utilisez n'importe quel AWS CloudFormation outil

Vous pouvez copier le modèle de bootstrap depuis le GitHubréférentiel aws-cdk ou obtenir le modèle à l'aide de la commande. cdk bootstrap --show-template Utilisez ensuite n'importe quel AWS CloudFormation outil pour déployer le modèle dans votre environnement.

Avec cette méthode, vous pouvez utiliser AWS CloudFormation StackSets ou AWS Control Tower. Vous pouvez également utiliser la AWS CloudFormation console ou le AWS Command Line Interface (AWS CLI). Vous pouvez apporter des modifications à votre modèle avant de le déployer. Cette méthode peut être plus flexible et adaptée aux déploiements à grande échelle.

Voici un exemple d'utilisation de l'--show-templateoption permettant de récupérer et d'enregistrer le modèle de bootstrap sur votre machine locale :

macOS/Linux

$ cdk bootstrap --show-template > bootstrap-template.yaml

Windows

Sous Windows, PowerShell doit être utilisé pour préserver le codage du modèle.

powershell "cdk bootstrap --show-template | Out-File -encoding utf8 bootstrap-template.yaml"

Pour déployer ce modèle à l'aide de CDKCLI, vous pouvez exécuter les opérations suivantes :

$ cdk bootstrap --template bootstrap-template.yaml

Voici un exemple d'utilisation du AWS CLI pour déployer le modèle :

macOS/Linux

aws cloudformation create-stack \
  --stack-name CDKToolkit \
  --template-body file://path/to/bootstrap-template.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-west-1

Windows

aws cloudformation create-stack ^
  --stack-name CDKToolkit ^
  --template-body file://path/to/bootstrap-template.yaml ^
  --capabilities CAPABILITY_NAMED_IAM ^
  --region us-west-1

Pour plus d'informations sur l'utilisation CloudFormation StackSets pour démarrer plusieurs environnements, consultez la section Bootstrapping multiple Comptes AWS for AWS CDK using CloudFormation StackSets dans le blog AWSCloud Operations & Migrations.

Quand démarrer votre environnement

Vous devez amorcer chaque AWS environnement avant de le déployer dans l'environnement. Nous vous recommandons de démarrer de manière proactive chaque environnement que vous prévoyez d'utiliser. Vous pouvez le faire avant de planifier le déploiement d'CDKapplications dans l'environnement. En démarrant vos environnements de manière proactive, vous évitez les problèmes futurs potentiels tels que les conflits de noms de compartiment Amazon S3 ou le déploiement d'CDKapplications dans des environnements qui n'ont pas été démarrés.

Vous pouvez démarrer un environnement plusieurs fois. Si un environnement a déjà été amorcé, la pile de bootstrap sera mise à niveau si nécessaire. Dans le cas contraire, il ne se passera rien.

Si vous tentez de déployer une CDK pile dans un environnement qui n'a pas été amorcé, une erreur semblable à la suivante s'affichera :

$ cdk deploy

✨  Synthesis time: 2.02s

 ❌ Deployment failed: Error: BootstrapExampleStack: SSM parameter /cdk-bootstrap/hnb659fds/version not found. Has the environment been bootstrapped? Please run 'cdk bootstrap' (see https://docs.aws.amazon.com/cdk/latest/guide/bootstrapping.html)

Mettez à jour votre stack bootstrap

Régulièrement, l'CDKéquipe mettra à jour le modèle bootstrap vers une nouvelle version. Dans ce cas, nous vous recommandons de mettre à jour votre stack bootstrap. Si vous n'avez pas personnalisé le processus d'amorçage, vous pouvez mettre à jour votre pile de bootstrap en suivant les mêmes étapes que lors du démarrage initial de votre environnement. Pour de plus amples informations, veuillez consulter Historique des versions du modèle Bootstrap.

Ressources par défaut créées lors de l'amorçage

IAMrôles créés lors du démarrage

Par défaut, le bootstrap fournit les AWS Identity and Access Management (IAM) rôles suivants dans votre environnement :

Ressource IDs créée lors du bootstrap

Lorsque vous déployez le modèle de bootstrap par défaut, les ressources physiques IDs pour le bootstrap sont créées à l'aide de la structure suivante : cdk-qualifier-description-account-ID-Region

Voici un exemple d'identifiant physique du compartiment intermédiaire Amazon S3 créé lors du démarrage :. cdk-hnb659fds-assets-012345678910-us-west-1

Autorisations à utiliser lors du démarrage de votre environnement

Lors du démarrage d'un AWS environnement, l'IAMidentité effectuant le démarrage doit disposer au moins des autorisations suivantes :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:*",
                "ecr:*",
                "ssm:*",
                "s3:*",
                "iam:*"
            ],
            "Resource": "*"
        }
    ]
}

Au fil du temps, la pile bootstrap, y compris les ressources créées et les autorisations requises, peut changer. Lors des modifications futures, vous devrez peut-être modifier les autorisations requises pour démarrer un environnement.

Personnaliser le bootstrap

Si le modèle de bootstrap par défaut ne répond pas à vos besoins, vous pouvez personnaliser l'amorçage des ressources dans votre environnement de la manière suivante :

Pour plus d'informations sur la personnalisation du bootstrap, consultez. Personnaliser le AWS CDK bootstrap

Démarrage avec des pipelines CDK

Si vous utilisez des CDK pipelines pour effectuer un déploiement dans l'environnement d'un autre compte et que vous recevez un message comme celui-ci :

Policy contains a statement with one or more invalid principals

Ce message d'erreur signifie que les IAM rôles appropriés n'existent pas dans l'autre environnement. La cause la plus probable est que l'environnement n'a pas été amorcé. Démarrez l'environnement et réessayez.

Protéger votre stack bootstrap contre la suppression

Si une pile bootstrap est supprimée, les AWS ressources initialement provisionnées dans l'environnement pour prendre en charge les CDK déploiements seront également supprimées. Cela empêchera le pipeline de fonctionner. Dans ce cas, il n'existe pas de solution générale pour le rétablissement.

Une fois votre environnement amorcé, ne supprimez pas et ne recréez pas la pile d'amorçage de l'environnement. Essayez plutôt de mettre à jour la pile bootstrap vers une nouvelle version en exécutant à nouveau la cdk bootstrap commande.

Pour vous protéger contre la suppression accidentelle de votre stack bootstrap, nous vous recommandons de fournir l'--termination-protectionoption avec la cdk bootstrap commande permettant d'activer la protection contre la résiliation. Vous pouvez activer la protection contre la résiliation sur les piles de bootstrap nouvelles ou existantes. Pour obtenir des instructions sur l'activation de la protection contre la résiliation, voir Activer la protection contre la résiliation pour la pile bootstrap.

Historique des versions du modèle Bootstrap

Le modèle bootstrap est versionné et évolue au fil du temps avec lui-même. AWS CDK Si vous fournissez votre propre modèle de bootstrap, maintenez-le à jour avec le modèle canonique par défaut. Vous devez vous assurer que votre modèle continue de fonctionner avec toutes les CDK fonctionnalités.

Cette section contient une liste des modifications apportées dans chaque version.

Passez d'un ancien modèle Bootstrap à un modèle moderne

La AWS CDK v1 supportait deux modèles d'amorçage, anciens et modernes. CDKv2 ne prend en charge que le modèle moderne. À titre de référence, voici les principales différences entre ces deux modèles.

* Nous ajouterons des ressources supplémentaires au modèle de bootstrap selon les besoins.

Un environnement qui a été amorcé à l'aide de l'ancien modèle doit être mis à niveau pour utiliser le modèle moderne de la version CDK 2 en redémarrant. Redéployez toutes les AWS CDK applications de l'environnement au moins une fois avant de supprimer l'ancien compartiment.

Conclusions du Address Security Hub

Si vous utilisez AWS Security Hub, vous pouvez voir des résultats publiés sur certaines des ressources créées par le processus d' AWS CDK amorçage. Les résultats du Security Hub vous aident à trouver des configurations de ressources dont vous devez vérifier l'exactitude et la sécurité. Nous avons examiné ces configurations de ressources spécifiques avec AWS Security et nous sommes convaincus qu'elles ne constituent pas un problème de sécurité.

[KMS.2] IAM les principaux ne devraient pas avoir de politiques IAM intégrées autorisant les actions de déchiffrement sur toutes les clés KMS

Le rôle de déploiement (DeploymentActionRole) autorise la lecture des données chiffrées, ce qui est nécessaire pour les déploiements entre comptes avec CDK des pipelines. Les politiques associées à ce rôle n'accordent pas d'autorisation à toutes les données. Il n'autorise la lecture des données chiffrées depuis Amazon S3 que lorsque ces ressources l'autorisent par le biais de leur politique de compartiment ou de clé. AWS KMS

Voici un extrait de ces deux instructions dans le rôle de déploiement à partir du modèle bootstrap :

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...

Pourquoi Security Hub signale-t-il cela ?

Les politiques contiennent une Condition clause Resource: * combinée. Security Hub signale le * joker. Ce caractère générique est utilisé car au moment du démarrage du compte, la AWS KMS clé créée par CDK Pipelines pour le bucket d' CodePipeline artefacts n'existe pas encore et ne peut donc pas être référencée sur le modèle bootstrap par. ARN En outre, Security Hub ne tient pas compte de cette Condition clause lorsqu'il lève ce drapeau. Cela Condition se limite Resource: * aux demandes effectuées à partir de la même Compte AWS AWS KMS clé. Ces demandes doivent provenir d'Amazon S3 en même temps Région AWS que la AWS KMS clé.

Dois-je corriger cette constatation ?

Tant que vous n'avez pas modifié la AWS KMS clé de votre modèle de bootstrap pour qu'elle soit trop permissive, le rôle de déploiement n'autorise pas un accès supérieur à ce dont il a besoin. Il n'est donc pas nécessaire de corriger cette constatation.

Et si je voulais corriger ce résultat ?

La manière de corriger ce problème dépend de l'utilisation ou non de CDK pipelines pour les déploiements entre comptes.

Considérations

Étant donné que le démarrage fournit des ressources dans votre environnement, des AWS frais peuvent vous être facturés lorsque ces ressources sont utilisées avec le. AWS CDK