这是 AWS CDK v2 开发者指南。较旧的 CDK v1 于 2022 年 6 月 1 日进入维护阶段，并于 2023 年 6 月 1 日终止支持。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

引导您的环境以用于 AWS CDK

引导您的 AWS 环境，为 AWS Cloud Development Kit (AWS CDK) 堆栈部署做好准备。

如何引导您的环境

你可以使用 AWS CDK 命令行界面 (AWS CDK CLI) 或您首选的 AWS CloudFormation 部署工具来引导您的环境。

使用 CDK CLI

你可以使用 CDK CLI cdk bootstrap命令来引导您的环境。如果您不需要对引导进行重大修改，我们建议您使用这种方法。

有关该cdk bootstrap命令和支持的选项的更多信息，请参阅cdk bootstrap。

使用任何 AWS CloudFormation 工具

你可以从 aws-cdk 中复制引导程序模板 GitHub 存储库或使用cdk bootstrap --show-template命令获取模板。然后，使用任何 AWS CloudFormation 工具将模板部署到您的环境中。

使用此方法，你可以使用 AWS CloudFormation StackSets 或 AWS Control Tower。您也可以使用 AWS CloudFormation 控制台或 AWS Command Line Interface (AWS CLI)。在部署模板之前，您可以对其进行修改。这种方法可能更灵活，适合大规模部署。

以下是使用--show-template选项检索引导模板并将其保存到本地计算机的示例：

macOS/Linux

$ cdk bootstrap --show-template > bootstrap-template.yaml

Windows

在 Windows 上， PowerShell 必须使用它来保留模板的编码。

powershell "cdk bootstrap --show-template | Out-File -encoding utf8 bootstrap-template.yaml"

要部署此模板，请使用 CDK CLI，你可以运行以下命令：

$ cdk bootstrap --template bootstrap-template.yaml

以下是使用部署模板 AWS CLI 的示例：

macOS/Linux

aws cloudformation create-stack \
  --stack-name CDKToolkit \
  --template-body file://path/to/bootstrap-template.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-west-1

Windows

aws cloudformation create-stack ^
  --stack-name CDKToolkit ^
  --template-body file://path/to/bootstrap-template.yaml ^
  --capabilities CAPABILITY_NAMED_IAM ^
  --region us-west-1

有关使用引导多个环境的信息 CloudFormation StackSets ，请参阅 AWSCloud Operations & M igration AWS CDK s AWS 账户 博客 CloudFormation StackSets中的引导多个环境以供使用。

何时引导您的环境

在部署到 AWS 环境之前，必须引导每个环境。我们建议您主动引导计划使用的每个环境。您可以在计划将CDK应用程序实际部署到环境中之前执行此操作。通过主动引导您的环境，可以防止未来可能出现的问题，例如 Amazon S3 存储桶名称冲突或将CDK应用程序部署到尚未引导的环境中。

可以不止一次地引导一个环境。如果环境已经被引导，则将在必要时升级引导堆栈。否则，什么也不会发生。

如果您尝试将CDK堆栈部署到尚未启动的环境中，则会看到如下错误：

$ cdk deploy

✨  Synthesis time: 2.02s

 ❌ Deployment failed: Error: BootstrapExampleStack: SSM parameter /cdk-bootstrap/hnb659fds/version not found. Has the environment been bootstrapped? Please run 'cdk bootstrap' (see https://docs.aws.amazon.com/cdk/latest/guide/bootstrapping.html)

更新你的引导程序堆栈

CDK团队会定期将引导模板更新为新版本。发生这种情况时，我们建议您更新您的引导程序堆栈。如果您尚未自定义引导过程，则可以按照最初引导环境时所采取的相同步骤来更新引导堆栈。有关更多信息，请参阅 Bootstrap 模板版本历史记录。

在引导过程中创建的默认资源

IAM在引导过程中创建的角色

默认情况下，引导会在您的环境中配置以下 AWS Identity and Access Management (IAM) 角色：

在引导过程中IDs创建的资源

部署默认引导模板时，将使用以下结构创建IDs用于引导的物理资源：。cdk-qualifier-description-account-ID-Region

以下是在引导期间创建的 Amazon S3 暂存存储桶的实物 ID 示例：。cdk-hnb659fds-assets-012345678910-us-west-1

引导环境时要使用的权限

引导 AWS 环境时，执行引导的IAM身份必须至少具有以下权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:*",
                "ecr:*",
                "ssm:*",
                "s3:*",
                "iam:*"
            ],
            "Resource": "*"
        }
    ]
}

随着时间的推移，引导堆栈（包括创建的资源及其所需的权限）可能会发生变化。对于 future 的更改，您可能需要修改引导环境所需的权限。

自定义引导

如果默认的引导模板不适合您的需求，则可以通过以下方式将资源引导到您的环境中进行自定义：

有关自定义引导的更多信息，请参阅。自定义 AWS CDK 引导

使用管道进行引导 CDK

如果您正在使用 P CDK ipelines 部署到其他账户的环境中，并且会收到如下消息：

Policy contains a statement with one or more invalid principals

此错误消息表示其他环境中不存在相应的IAM角色。最有可能的原因是环境没有被引导。引导环境并重试。

保护您的引导堆栈不被删除

如果删除了引导堆栈，则最初在环境中为支持CDK部署而配置的 AWS 资源也将被删除。这将导致管道停止工作。如果发生这种情况，则没有通用的恢复解决方案。

环境启动后，请勿删除和重新创建环境的引导堆栈。相反，请尝试通过再次运行cdk bootstrap命令将引导堆栈更新到新版本。

为了防止引导程序堆栈被意外删除，我们建议您提供启用终止保护的cdk bootstrap命令--termination-protection选项。您可以在新的或现有的引导堆栈上启用终止保护。有关启用终止保护的说明，请参阅为引导堆栈启用终止保护。

Bootstrap 模板版本历史记录

bootstrap模板是版本化的，并且会随着时间的推移而自行演变。 AWS CDK 如果您提供自己的引导程序模板，请使用规范的默认模板使其保持最新状态。您要确保您的模板能够继续使用所有CDK功能。

本节包含每个版本中所做更改的列表。

从传统引导模板升级到现代引导模板

AWS CDK v1 支持两个引导模板，即旧版和现代版。CDKv2 仅支持现代模板。作为参考，以下是这两个模板之间的高级区别。

* 我们将根据需要向引导模板添加其他资源。

必须通过重新启动将使用旧版模板引导的环境升级为使用 CDK v2 的现代模板。在删除旧存储桶之前，至少重新部署环境中的所有 AWS CDK 应用程序一次。

解决 Security Hub 的调查结果

如果您正在使用 AWS Security Hub，则可能会看到有关 AWS CDK 引导过程创建的某些资源的调查结果报告。Security Hub 的发现可帮助您找到资源配置，您应该仔细检查其准确性和安全性。我们已经通过 Sec AWS urity 审查了这些特定的资源配置，并确信它们不会构成安全问题。

[KMS.2] IAM 委托人不应有允许对所有密钥执行解密操作的IAM内联策略 KMS

部署角色 (DeploymentActionRole) 授予读取加密数据的权限，这是使用 Pipelin CDK es 进行跨账户部署所必需的。担任此角色的策略不授予对所有数据的权限。它仅授予从 Amazon S3 和读取加密数据的权限 AWS KMS，并且仅当这些资源通过其存储桶或密钥策略允许读取加密数据时。

以下是引导模板中部署角色中这两个语句的片段：

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...

为什么 Security Hub 会举报这个？

这些政策包含一个Resource: *组合Condition条款。Security Hub 会标记*通配符。之所以使用此通配符，是因为在引导账户时，Pipelin CDK es 为 CodePipeline 工件存储桶创建的 AWS KMS 密钥尚不存在，因此无法通过在引导模板上引用。ARN此外，Security Hub 在举起此标志时不会考虑该Condition子句。这Condition仅限Resource: *于使用同一 AWS KMS 密钥 AWS 账户 发出的请求。这些请求必须与 AWS KMS 密钥 AWS 区域 一样来自 Amazon S3。

我需要修复这个发现吗？

只要您没有将引导模板上的 AWS KMS 密钥修改为过于宽松，部署角色就不会允许超过其需要的访问权限。因此，没有必要修复这一发现。

如果我想修复这个发现怎么办？

如何修复这一发现取决于您是否将使用CDK流水线进行跨账户部署。

注意事项

由于引导会在您的环境中配置资源，因此当这些资源与一起使用时，您可能会产生 AWS 费用。 AWS CDK