AWS CDK v2 개발자 안내서입니다. 구형 CDK v1은 2022년 6월 1일에 유지 보수에 들어갔고 2023년 6월 1일에 지원이 종료되었습니다.

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

다음과 함께 사용할 수 있도록 환경을 부트스트랩하십시오. AWS CDK

AWS 환경을 부트스트랩하여 스택 배포를 준비하세요. AWS Cloud Development Kit (AWS CDK)

환경을 부트스트랩하는 방법

AWS CDK 명령줄 인터페이스 (AWS CDK CLI) 또는 선호하는 AWS CloudFormation 배포 도구를 사용하여 환경을 부트스트랩할 수 있습니다.

CDK 사용 CLI

CDK CLI cdk bootstrap 명령을 사용하여 환경을 부트스트랩할 수 있습니다. 부트스트래핑을 크게 수정할 필요가 없는 경우 이 방법을 사용하는 것이 좋습니다.

cdk bootstrap명령 및 지원되는 옵션에 대한 자세한 내용은 을 참조하십시오cdk bootstrap.

아무 AWS CloudFormation 도구나 사용할 수 있습니다.

aws-cdk GitHub 리포지토리에서 부트스트랩 템플릿을 복사하거나 명령을 사용하여 템플릿을 가져올 수 있습니다. cdk bootstrap --show-template 그런 다음 원하는 AWS CloudFormation 도구를 사용하여 템플릿을 사용자 환경에 배포하십시오.

이 방법을 사용하면 AWS CloudFormation StackSets 또는 을 사용할 수 있습니다 AWS Control Tower. AWS CloudFormation 콘솔이나 AWS Command Line Interface (AWS CLI) 를 사용할 수도 있습니다. 템플릿을 배포하기 전에 템플릿을 수정할 수 있습니다. 이 방법은 대규모 배포에 더 유연하고 적합할 수 있습니다.

다음은 이 --show-template 옵션을 사용하여 부트스트랩 템플릿을 검색하고 로컬 시스템에 저장하는 예제입니다.

macOS/Linux

$ cdk bootstrap --show-template > bootstrap-template.yaml

Windows

Windows에서는 템플릿의 인코딩을 보존하는 데 PowerShell 사용해야 합니다.

powershell "cdk bootstrap --show-template | Out-File -encoding utf8 bootstrap-template.yaml"

CDK를 사용하여 이 템플릿을 CLI 배포하려면 다음을 실행할 수 있습니다.

$ cdk bootstrap --template bootstrap-template.yaml

다음은 를 사용하여 템플릿을 AWS CLI 배포하는 예제입니다.

macOS/Linux

aws cloudformation create-stack \
  --stack-name CDKToolkit \
  --template-body file://path/to/bootstrap-template.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-west-1

Windows

aws cloudformation create-stack ^
  --stack-name CDKToolkit ^
  --template-body file://path/to/bootstrap-template.yaml ^
  --capabilities CAPABILITY_NAMED_IAM ^
  --region us-west-1

여러 환경을 CloudFormation StackSets 부트스트랩하는 데 사용하는 방법에 대한 자세한 내용은 AWS 클라우드 운영 및 마이그레이션 CloudFormation StackSets 블로그에서 AWS CDK 사용할 다중 AWS 계정 부트스트래핑을 참조하십시오.

환경을 부트스트랩해야 하는 시기

환경에 배포하기 전에 각 환경을 부트스트랩해야 합니다. 부트스트랩되지 않은 환경에 CDK 스택을 배포하려고 하면 다음과 같은 오류가 표시됩니다.

$ cdk deploy

✨  Synthesis time: 2.02s

 ❌ Deployment failed: Error: BootstrapExampleStack: SSM parameter /cdk-bootstrap/hnb659fds/version not found. Has the environment been bootstrapped? Please run 'cdk bootstrap' (see https://docs.aws.amazon.com/cdk/latest/guide/bootstrapping.html)

환경을 두 번 이상 부트스트랩해도 괜찮습니다. 환경이 이미 부트스트랩된 경우 필요한 경우 부트스트랩 스택이 업그레이드됩니다. 그렇지 않으면 아무 일도 일어나지 않을 것입니다.

부트스트랩 스택 업데이트

CDK 팀은 주기적으로 부트스트랩 템플릿을 새 버전으로 업데이트합니다. 이런 경우에는 부트스트랩 스택을 업데이트하는 것이 좋습니다. 부트스트랩 프로세스를 사용자 지정하지 않은 경우 원래 환경을 부트스트랩할 때 수행한 것과 동일한 단계에 따라 부트스트랩 스택을 업데이트할 수 있습니다. 자세한 정보는 부트스트랩 템플릿 버전 기록을 참조하세요.

부트스트래핑을 사용자 지정합니다.

기본 부트스트랩 템플릿이 요구 사항에 맞지 않는 경우 다음과 같은 방법으로 환경에 맞게 리소스 부트스트래핑을 사용자 지정할 수 있습니다.

부트스트래핑 사용자 지정에 대한 자세한 내용은 을 참조하십시오. AWS CDK 부트스트래핑 사용자 지정

CDK Pipeline을 사용한 부트스트래핑

CDK Pipelines를 사용하여 다른 계정의 환경에 배포하는 경우 다음과 같은 메시지가 표시됩니다.

Policy contains a statement with one or more invalid principals

이 오류 메시지는 적절한 IAM 역할이 다른 환경에 존재하지 않음을 의미합니다. 가장 가능성이 높은 원인은 환경이 부트스트랩되지 않았기 때문입니다. 환경을 부트스트랩하고 다시 시도하십시오.

부트스트랩 스택이 삭제되지 않도록 보호

부트스트랩 스택이 삭제되면 CDK 배포를 지원하기 위해 해당 환경에 원래 프로비저닝된 AWS 리소스도 삭제됩니다. 그러면 파이프라인 작동이 중지됩니다. 이 경우 복구를 위한 일반적인 해결 방법은 없습니다.

환경을 부트스트랩한 후에는 해당 환경의 부트스트랩 스택을 삭제하고 다시 만들지 마십시오. 대신 명령을 다시 실행하여 부트스트랩 스택을 새 버전으로 업데이트해 보십시오. cdk bootstrap

부트스트랩 스택이 실수로 삭제되는 것을 방지하려면 종료 보호를 활성화하는 cdk bootstrap 명령과 함께 --termination-protection 옵션을 제공하는 것이 좋습니다. 새 부트스트랩 스택이나 기존 부트스트랩 스택에서 종료 보호를 활성화할 수 있습니다. 종료 보호를 활성화하는 방법에 대한 지침은 부트스트랩 스택에 대한 종료 보호 활성화를 참조하십시오.

부트스트랩 템플릿 버전 기록

부트스트랩 템플릿은 버전이 지정되며 시간이 지남에 따라 자체적으로 발전합니다. AWS CDK 자체 부트스트랩 템플릿을 제공하는 경우 표준 기본 템플릿을 사용하여 최신 상태로 유지하십시오. 템플릿이 모든 CDK 기능과 계속 호환되는지 확인하고 싶을 것입니다.

이 섹션에는 각 버전에서 변경된 사항 목록이 포함되어 있습니다.

레거시 부트스트랩 템플릿에서 최신 부트스트랩 템플릿으로 업그레이드

AWS CDK v1은 레거시와 모던의 두 가지 부트스트래핑 템플릿을 지원했습니다. CDK v2는 최신 템플릿만 지원합니다. 참고로 이 두 템플릿 간의 주요 차이점은 다음과 같습니다.

* 필요에 따라 부트스트랩 템플릿에 리소스를 추가할 예정입니다.

기존 템플릿을 사용하여 부트스트랩한 환경을 다시 부트스트랩하여 CDK v2용 최신 템플릿을 사용하도록 업그레이드해야 합니다. 기존 버킷을 삭제하기 전에 환경의 모든 AWS CDK 애플리케이션을 한 번 이상 재배포하십시오.

주소 Security Hub 조사 결과

를 사용하는 AWS Security Hub경우 AWS CDK 부트스트래핑 프로세스에서 생성된 일부 리소스에 대한 결과가 보고될 수 있습니다. Security Hub 검색 결과는 정확성과 안전성을 다시 확인해야 하는 리소스 구성을 찾는 데 도움이 됩니다. 보안 팀과 이러한 특정 리소스 구성을 검토한 결과 AWS 보안 문제를 구성하지 않는다고 확신합니다.

[KMS.2] IAM 보안 주체에는 모든 KMS 키에 대한 암호 해독 작업을 허용하는 IAM 인라인 정책이 없어야 합니다.

배포 역할 (DeploymentActionRole) 은 암호화된 데이터를 읽을 수 있는 권한을 부여하며, 이는 CDK Pipeline을 사용한 계정 간 배포에 필요합니다. 이 역할의 정책이 모든 데이터에 대한 권한을 부여하지는 않습니다. Amazon S3에서 암호화된 데이터를 읽을 수 있는 권한만 부여하며 AWS KMS, 해당 리소스가 버킷 또는 키 정책을 통해 데이터를 허용하는 경우에만 부여합니다.

다음은 부트스트랩 템플릿의 배포 역할에 있는 이 두 명령문을 요약한 것입니다.

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...

Security Hub에서 플래그를 지정하는 이유는 무엇인가요?

정책에는 Resource: * Condition 조항과 결합되어 있습니다. Security Hub는 * 와일드카드에 플래그를 지정합니다. 이 와일드카드를 사용하는 이유는 계정이 부트스트랩될 때 아티팩트 버킷에 대해 CodePipeline CDK Pipelines에서 생성한 AWS KMS 키가 아직 존재하지 않기 때문에 ARN이 부트스트랩 템플릿에서 참조할 수 없기 때문입니다. 또한 Security Hub는 이 플래그를 표시할 때 이 Condition 조항을 고려하지 않습니다. 이는 동일한 AWS 계정 키로 이루어진 Resource: * 요청으로 Condition 제한됩니다. AWS KMS 이러한 요청은 AWS KMS 키와 AWS 리전 동일하게 Amazon S3에서 들어와야 합니다.

이 결과를 수정해야 합니까?

부트스트랩 템플릿의 AWS KMS 키를 지나치게 허용하도록 수정하지 않는 한 배포 역할은 필요 이상의 액세스를 허용하지 않습니다. 따라서 이 결과를 수정할 필요는 없습니다.

이 결과를 수정하려면 어떻게 해야 하나요?

이 발견을 수정하는 방법은 계정 간 배포에 CDK Pipelines를 사용할지 여부에 따라 달라집니다.

고려 사항

부트스트래핑은 사용자 환경의 리소스를 프로비저닝하므로 해당 리소스를 와 함께 사용할 경우 AWS 요금이 부과될 수 있습니다. AWS CDK