引導您的環境以搭配 使用 AWS CDK

引導您的 AWS 環境以準備進行 AWS Cloud Development Kit (AWS CDK) 堆疊部署。

如何引導您的環境

您可以使用 AWS CDK 命令列界面 (AWS CDK CLI) 或您偏好的 AWS CloudFormation 部署工具來引導您的環境。

使用 CDKCLI

您可以使用 CDK CLIcdk bootstrap命令來引導您的環境。如果您不需要大幅修改引導，我們建議使用此方法。

如需 cdk bootstrap命令和支援選項的詳細資訊，請參閱 cdk bootstrap。

使用任何 AWS CloudFormation 工具

您可以從 aws-cdk-cli GitHub儲存庫複製引導範本，或使用 cdk bootstrap --show-template命令取得範本。然後，使用任何 AWS CloudFormation 工具將範本部署到您的環境中。

透過此方法，您可以使用 AWS CloudFormation StackSets 或 AWS Control Tower。您也可以使用 AWS CloudFormation 主控台或 AWS Command Line Interface (AWS CLI)。您可以在部署範本之前對其進行修改。此方法可能更靈活，且適用於大規模部署。

以下是使用 --show-template選項擷取引導範本並將其儲存至本機電腦的範例：

$ cdk bootstrap --show-template > bootstrap-template.yaml

若要使用 CDK 部署此範本CLI，您可以執行下列動作：

$ cdk bootstrap --template bootstrap-template.yaml

以下是使用 AWS CLI 部署範本的範例：

aws cloudformation create-stack \
  --stack-name CDKToolkit \
  --template-body file://path/to/bootstrap-template.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-west-1

如需有關使用 CloudFormation StackSets 引導多個環境的資訊，請參閱 AWS Cloud Operations & Migrations 部落格中的引導多個 AWS 帳戶 以 AWS CDK 使用 CloudFormation StackSets。

何時引導您的環境

您必須先引導每個 AWS 環境，才能部署到環境。建議您主動引導您計劃使用的每個環境。您可以在計劃實際將 CDK 應用程式部署到環境之前執行此操作。透過主動引導您的環境，您可以防止未來可能發生的問題，例如 Amazon S3 儲存貯體名稱衝突，或將 CDK 應用程式部署到尚未引導的環境。

可以多次引導環境。如果環境已啟動，必要時將會升級引導堆疊。否則，不會發生任何情況。

如果您嘗試將 CDK 堆疊部署到尚未引導的環境，您會看到如下錯誤：

$ cdk deploy

✨  Synthesis time: 2.02s

 ❌ Deployment failed: Error: BootstrapExampleStack: SSM parameter /cdk-bootstrap/hnb659fds/version not found. Has the environment been bootstrapped? Please run 'cdk bootstrap' (see https://docs.aws.amazon.com/cdk/latest/guide/bootstrapping.html)

更新您的引導堆疊

CDK 團隊會定期將引導範本更新為新版本。發生這種情況時，建議您更新引導堆疊。如果您尚未自訂引導程序，您可以依照最初引導環境時所採取的相同步驟來更新引導堆疊。如需詳細資訊，請參閱引導範本版本歷史記錄。

引導期間建立的預設資源

在引導期間建立的 IAM 角色

根據預設，引導會在您的環境中佈建下列 AWS Identity and Access Management (IAM) 角色：

在引導期間建立的資源 IDs

部署預設引導範本時，會使用下列結構建立引導資源IDs：cdk-qualifier-description-account-ID-Region。

以下是在引導期間建立的 Amazon S3 預備儲存貯體的實體 ID 範例：cdk-hnb659fds-assets-012345678910-us-west-1。

引導環境時使用的許可

引導 AWS 環境時，執行引導的 IAM 身分必須至少具有下列許可：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:*",
                "ecr:*",
                "ssm:*",
                "s3:*",
                "iam:*"
            ],
            "Resource": "*"
        }
    ]
}

隨著時間的推移，引導堆疊，包括建立的資源和所需的許可可能會變更。隨著未來的變更，您可能需要修改啟動環境所需的許可。

自訂引導

如果預設引導範本不符合您的需求，您可以透過下列方式，在您的環境中自訂資源引導：

如需自訂引導的詳細資訊，請參閱 自訂 AWS CDK 引導。

使用 CDK 管道引導

如果您使用 CDK 管道部署到另一個帳戶的環境，並且您收到如下的訊息：

Policy contains a statement with one or more invalid principals

此錯誤訊息表示適當的 IAM 角色不存在於其他環境中。最可能的原因是環境尚未引導。引導環境，然後再試一次。

保護您的引導堆疊免於刪除

如果刪除引導堆疊，則原本在環境中佈建以支援 CDK 部署 AWS 的資源也會遭到刪除。這會導致管道停止運作。如果發生這種情況，就沒有一般的復原解決方案。

環境開機後，請勿刪除並重新建立環境的開機堆疊。反之，請再次執行 cdk bootstrap命令，嘗試將引導堆疊更新為新版本。

為了防止意外刪除您的引導堆疊，建議您提供 --termination-protection選項與 cdk bootstrap命令，以啟用終止保護。您可以在新的或現有的引導堆疊上啟用終止保護。如需啟用終止保護的指示，請參閱啟用引導堆疊的終止保護。

引導範本版本歷史記錄

引導範本會進行版本控制，並隨著 AWS CDK 本身隨著時間演進。如果您提供自己的引導範本，請讓它與正式預設範本保持最新狀態。您想要確保範本繼續處理所有 CDK 功能。

本節包含每個版本所做的變更清單。

從舊版升級至現代引導範本

AWS CDK v1 支援兩個引導範本，傳統和現代。CDK v2 僅支援現代範本。以下是這兩個範本之間的高階差異，以供參考。

* 我們會視需要將其他資源新增至引導範本。

使用舊版範本引導的環境必須升級，才能透過重新引導來使用 CDK v2 的現代範本。在刪除舊版儲存貯體之前，至少重新部署環境中的所有 AWS CDK 應用程式一次。

Address Security Hub 調查結果

如果您使用的是 AWS Security Hub，您可能會在引導程序建立 AWS CDK 的一些資源上看到報告的問題清單。Security Hub 調查結果可協助您尋找資源組態，您應該再次檢查其準確性和安全性。我們已使用 AWS 安全性來檢閱這些特定資源組態，並確信它們不會構成安全問題。

【KMS.2】 IAM 主體不應具有允許對所有 KMS 金鑰執行解密動作的 IAM 內嵌政策

部署角色 (DeploymentActionRole) 授予許可，以讀取加密的資料，這是使用 CDK 管道跨帳戶部署的必要項目。此角色中的政策不會授予所有資料的許可。它只會授予許可，以從 Amazon S3 和 讀取加密的資料 AWS KMS，而且只有在這些資源允許透過其儲存貯體或金鑰政策讀取資料時。

以下是從引導範本部署角色中這兩個陳述式的程式碼片段：

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...

為什麼 Security Hub 會標記此項目？

政策包含 與 Condition子句的Resource: *組合。Security Hub 會標記*萬用字元。使用此萬用字元是因為在帳戶啟動時，CDK Pipelines 為 CodePipeline 成品儲存貯體建立的 AWS KMS 金鑰尚不存在，因此，ARN 無法在引導範本上參考。此外，Security Hub 在引發此旗標時不會考慮 Condition子句。這Condition僅限於從相同 AWS KMS 金鑰提出 AWS 帳戶 的Resource: *請求。這些請求必須來自與 AWS KMS 金鑰 AWS 區域 相同的 Amazon S3。

我需要修正此問題清單嗎？

只要您尚未將引導範本上的 AWS KMS 金鑰修改為過度寬鬆，部署角色就不允許超過所需的存取權。因此，不需要修正此調查結果。

如果我想要修正此問題清單該怎麼辦？

如何修正此調查結果取決於您是否將使用 CDK 管道進行跨帳戶部署。

考量事項

由於引導會在您的環境中佈建資源，因此當這些資源與 搭配使用時，可能會產生 AWS 費用 AWS CDK。