これは AWS CDK v2 デベロッパーガイドです。古い CDK v1 は 2022 年 6 月 1 日にメンテナンスを開始し、2023 年 6 月 1 日にサポートを終了しました。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

で使用する環境をブートストラップする AWS CDK

AWS 環境をブートストラップして、 AWS Cloud Development Kit (AWS CDK) スタックデプロイの準備をします。

環境をブートストラップする方法

AWS CDK コマンドラインインターフェイス (AWS CDK CLI) または任意の AWS CloudFormation デプロイツールを使用して、環境をブートストラップできます。

CDK を使用するCLI

CDK CLI cdk bootstrap コマンドを使用して環境をブートストラップできます。これは、ブートストラップに大幅な変更が必要ない場合は推奨される方法です。

cdk bootstrap コマンドとサポートされているオプションの詳細については、「」を参照してくださいcdk bootstrap。

任意の AWS CloudFormation ツールを使用する

ブートストラップテンプレートは、aws-cdk GitHubリポジトリからコピーすることも、 cdk bootstrap --show-template コマンドを使用してテンプレートを取得することもできます。次に、任意の AWS CloudFormation ツールを使用してテンプレートを環境にデプロイします。

この方法では、 AWS CloudFormation StackSets または を使用できます AWS Control Tower。 AWS CloudFormation コンソールまたは AWS Command Line Interface () を使用することもできますAWS CLI。テンプレートは、デプロイする前に変更できます。この方法は、より柔軟で大規模なデプロイに適しています。

--show-template オプションを使用してブートストラップテンプレートを取得してローカルマシンに保存する例を次に示します。

macOS/Linux

$ cdk bootstrap --show-template > bootstrap-template.yaml

Windows

Windows PowerShell では、テンプレートのエンコードを保持するために を使用する必要があります。

powershell "cdk bootstrap --show-template | Out-File -encoding utf8 bootstrap-template.yaml"

CDK を使用してこのテンプレートをデプロイするにはCLI、以下を実行します。

$ cdk bootstrap --template bootstrap-template.yaml

を使用してテンプレート AWS CLI をデプロイする例を次に示します。

macOS/Linux

aws cloudformation create-stack \
  --stack-name CDKToolkit \
  --template-body file://path/to/bootstrap-template.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-west-1

Windows

aws cloudformation create-stack ^
  --stack-name CDKToolkit ^
  --template-body file://path/to/bootstrap-template.yaml ^
  --capabilities CAPABILITY_NAMED_IAM ^
  --region us-west-1

を使用して複数の環境 CloudFormation StackSets をブートストラップする方法については、AWS クラウドオペレーションと移行ブログのAWS CDK 「 AWS アカウント を使用するための複数のブートストラップ CloudFormation StackSets」を参照してください。

環境をブートストラップするタイミング

環境にデプロイする前に、各環境をブートストラップする必要があります。ブートストラップされていない環境に CDK スタックをデプロイしようとすると、次のようなエラーが表示されます。

$ cdk deploy

✨  Synthesis time: 2.02s

 ❌ Deployment failed: Error: BootstrapExampleStack: SSM parameter /cdk-bootstrap/hnb659fds/version not found. Has the environment been bootstrapped? Please run 'cdk bootstrap' (see https://docs.aws.amazon.com/cdk/latest/guide/bootstrapping.html)

環境を複数回ブートストラップしても問題ありません。環境がすでにブートストラップされている場合、必要に応じてブートストラップスタックがアップグレードされます。そうしないと、何も起こりません。

ブートストラップスタックを更新する

CDK チームは定期的にブートストラップテンプレートを新しいバージョンに更新します。この場合、ブートストラップスタックを更新することをお勧めします。ブートストラッププロセスをカスタマイズしていない場合は、最初に環境をブートストラップするために実行したのと同じ手順に従って、ブートストラップスタックを更新できます。詳細については、「ブートストラップテンプレートのバージョン履歴」を参照してください。

ブートストラップをカスタマイズする

デフォルトのブートストラップテンプレートがニーズに合わない場合は、次の方法で環境へのリソースのブートストラップをカスタマイズできます。

ブートストラップのカスタマイズの詳細については、「」を参照してくださいAWS CDK ブートストラップをカスタマイズする。

CDK パイプラインによるブートストラップ

CDK Pipelines を使用して別のアカウントの環境にデプロイしている場合、次のようなメッセージが表示されます。

Policy contains a statement with one or more invalid principals

このエラーメッセージは、適切な IAM ロールが他の環境に存在しないことを意味します。最も可能性の高い原因は、環境がブートストラップされていないことです。環境をブートストラップして、もう一度試してください。

ブートストラップスタックの削除からの保護

ブートストラップスタックが削除されると、CDK デプロイをサポートするために環境に最初にプロビジョニングされた AWS リソースも削除されます。これにより、パイプラインは動作しなくなります。この場合、復旧のための一般的な解決策はありません。

環境がブートストラップされたら、環境のブートストラップスタックを削除して再作成しないでください。代わりに、 cdk bootstrap コマンドを再度実行して、ブートストラップスタックを新しいバージョンに更新してみてください。

ブートストラップスタックが誤って削除されないように、終了保護を有効にするには、 cdk bootstrap コマンドで --termination-protectionオプションを指定することをお勧めします。新規または既存のブートストラップスタックで終了保護を有効にできます。終了保護を有効にする手順については、「ブートストラップスタック の終了保護を有効にする」を参照してください。

ブートストラップテンプレートのバージョン履歴

ブートストラップテンプレートはバージョニングされ、それ AWS CDK 自体とともに時間の経過とともに進化します。独自のブートストラップテンプレートを指定する場合は、正規のデフォルトテンプレートで最新の状態を維持します。テンプレートが引き続きすべての CDK 機能で動作するようにしたい。

このセクションには、各バージョンで行われた変更のリストが含まれています。

レガシーから最新のブートストラップテンプレートへのアップグレード

AWS CDK v1 は、レガシーとモダンの 2 つのブートストラップテンプレートをサポートしました。CDK v2 は最新の テンプレートのみをサポートしています。参考までに、これら 2 つのテンプレートの大まかな違いを次に示します。

* 必要に応じて、ブートストラップテンプレートにリソースを追加します。

レガシーテンプレートを使用してブートストラップされた環境は、再起動によって CDK v2 の最新のテンプレートを使用するようにアップグレードする必要があります。レガシーバケットを削除する前に、環境内のすべての AWS CDK アプリケーションを少なくとも 1 回再デプロイします。

Security Hub の検出結果に対処する

を使用している場合は AWS Security Hub、ブートストラッププロセスによって AWS CDK 作成された一部のリソースで結果が報告される場合があります。Security Hub の検出結果は、精度と安全性を再確認する必要があるリソース設定を見つけるのに役立ちます。これらの特定のリソース設定は AWS Security で確認済みであり、セキュリティ上の問題にはならないと確信しています。

[KMS.2] IAM プリンシパルは、すべての KMS キーで復号アクションを許可する IAM インラインポリシーを使用しないでください

デプロイロール (DeploymentActionRole) は、暗号化されたデータを読み取るアクセス許可を付与します。これは、CDK Pipelines によるクロスアカウントデプロイに必要です。このロールのポリシーは、すべてのデータにアクセス許可を付与するわけではありません。Amazon S3 および から暗号化されたデータを読み取るアクセス許可を付与するのは AWS KMS、それらのリソースがバケットまたはキーポリシーを通じて許可する場合のみです。

以下は、ブートストラップテンプレートからのデプロイロール内のこれら 2 つのステートメントのスニペットです。

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...

Security Hub がこれにフラグを付けるのはなぜですか？

ポリシーには、 Condition句とResource: *組み合わせた が含まれます。Security Hub はワイルドカードにフラグ*を付けます。このワイルドカードは、アカウントがブートストラップされた時点で、アー CodePipeline ティファクトバケットの CDK Pipelines によって作成された AWS KMS キーがまだ存在しないため、ARN によってブートストラップテンプレートで参照できないために使用されます。さらに、Security Hub は、このフラグを立てるときに Condition句を考慮しません。これは、 AWS KMS キー AWS アカウント と同じ からのResource: *リクエストConditionに制限されます。これらのリクエストは、 AWS KMS キー AWS リージョン と同じ の Amazon S3 から送信する必要があります。

この検出結果を修正する必要がありますか？

ブートストラップテンプレートの AWS KMS キーを過度に許容するように変更していない限り、デプロイロールは必要以上のアクセスを許可しません。したがって、この検出結果を修正する必要はありません。

この検出結果を修正するにはどうすればよいですか？

この検出結果の修正方法は、クロスアカウントデプロイに CDK Pipelines を使用するかどうかによって異なります。

考慮事項

ブートストラップは環境内のリソースをプロビジョニングするため、これらのリソースを で使用すると AWS 料金が発生する可能性があります AWS CDK。