這是 AWS CDK v2 開發人員指南。較舊的 CDK 第 1 版已於 2022 年 6 月 1 日進入維護，並於 2023 年 6 月 1 日結束支援。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

引導您的環境以與 AWS CDK

啟動您的 AWS 環境，為 AWS Cloud Development Kit (AWS CDK) 堆疊部署做好準備。

如何引導您的環境

您可以使用 AWS CDK 命令列介面 (AWS CDK CLI) 或偏好的 AWS CloudFormation 部署工具來啟動環境。

使用 CDK CLI

您可以使用 CDK CLI cdk bootstrap 指令來啟動您的環境。如果您不需要對引導載入進行重大修改，我們建議使用此方法。

若要取得有關cdk bootstrap指令和支援選項的更多資訊，請參閱〈〉cdk bootstrap。

使用任何 AWS CloudFormation 工具

您可以從 aws-cdk GitHub 儲存庫複製啟動程序範本，或使用指令取得範本。cdk bootstrap --show-template然後，使用任何 AWS CloudFormation 工具將範本部署到您的環境中。

使用此方法，您可以使用 AWS CloudFormation StackSets 或 AWS Control Tower。您也可以使用 AWS CloudFormation 控制台或 AWS Command Line Interface （AWS CLI）。您可以在部署範本之前對範本進行修改。這種方法可能更靈活，並且適合大規模部署。

以下是使用--show-template選項擷取啟動程序範本並將其儲存至本機電腦的範例：

macOS/Linux

$ cdk bootstrap --show-template > bootstrap-template.yaml

Windows

在 Windows 上， PowerShell 必須用來保留模板的編碼。

powershell "cdk bootstrap --show-template | Out-File -encoding utf8 bootstrap-template.yaml"

若要使用 CDK 部署此範本CLI，您可以執行下列命令：

$ cdk bootstrap --template bootstrap-template.yaml

以下是使用部署範本 AWS CLI 的範例：

macOS/Linux

aws cloudformation create-stack \
  --stack-name CDKToolkit \
  --template-body file://path/to/bootstrap-template.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-west-1

Windows

aws cloudformation create-stack ^
  --stack-name CDKToolkit ^
  --template-body file://path/to/bootstrap-template.yaml ^
  --capabilities CAPABILITY_NAMED_IAM ^
  --region us-west-1

如需使用 CloudFormation StackSets 啟動多個環境的相關資訊，請參閱 AWS 雲端操作和遷移部落格 CloudFormation StackSets中的多重 AWS 帳戶啟動載入。 AWS CDK

何時引導您的環境

在部署到環境之前，您必須啟動每個環境。如果您嘗試將 CDK 堆疊部署到尚未啟動載入的環境中，您會看到類似下列的錯誤訊息：

$ cdk deploy

✨  Synthesis time: 2.02s

 ❌ Deployment failed: Error: BootstrapExampleStack: SSM parameter /cdk-bootstrap/hnb659fds/version not found. Has the environment been bootstrapped? Please run 'cdk bootstrap' (see https://docs.aws.amazon.com/cdk/latest/guide/bootstrapping.html)

它是可以引導一個環境不止一次。如果環境已經啟動載入，則必要時會升級啟動程序堆疊。否則，什麼都不會發生。

更新您的引導堆棧

CDK 團隊會定期將啟動程序範本更新為新版本。發生這種情況時，我們建議您更新啟動程序堆疊。如果您尚未自訂啟動載入程序，則可以按照最初啟動環境所採取的相同步驟來更新 Bootstrap 堆疊。如需詳細資訊，請參閱 引導模板歷史版本。

自訂引導

如果預設的啟動程序範本不符合您的需求，您可以使用下列方式將資源啟動載入環境中：

如需自訂啟動載入的詳細資訊，請參閱。自訂 AWS CDK 引導

使用 CDK Pipelines 進行引導

如果您使用 CDK Pipelines 部署到其他帳戶的環境中，並且收到類似下列的訊息：

Policy contains a statement with one or more invalid principals

此錯誤訊息表示其他環境中不存在適當的 IAM 角色。最可能的原因是環境尚未啟動載入。啟動環境，然後再試一次。

保護您的啟動程序堆疊免遭刪

如果刪除啟動程序堆疊，也會刪除原本在環境中佈建以支援 CDK 部署的 AWS 資源。這將導致管道停止工作。如果發生這種情況，則沒有恢復的通用解決方案。

啟動載入環境後，請勿刪除並重新建立環境的啟動程序堆疊。相反，請嘗試通過再次運行cdk bootstrap命令將啟動程序堆棧更新為新版本。

為了防止意外刪除啟動程序堆疊，我們建議您提供啟用終止保護cdk bootstrap命令的--termination-protection選項。您可以在新的或現有的啟動程序堆疊上啟用終止保護。如需啟用終止保護的指示，請參閱啟動程序堆疊啟用終止保護。

引導模板歷史版本

引導程序模板是版本化的，並隨著時間的 AWS CDK 推移而發展。如果您提供自己的引導模板，請使用規範的默認模板保持最新狀態。您要確保範本可繼續使用所有 CDK 功能。

本節包含在每個版本中所做的變更清單。

從舊版升級到現代引導模板

AWS CDK v1 支持兩個引導模板，傳統和現代。CDK V2 僅支持現代模板。作為參考，以下是這兩個模板之間的高層次差異。

* 我們將根據需要向引導模板添加其他資源。

必須升級使用舊版範本啟動載入的環境，才能透過重新啟動載入來使用 CDK v2 的現代範本。在刪除舊版值區之前，至少重新部署環境中的所有 AWS CDK 應用程式一次。

位址 Security Hub 發現

如果您正在使用 AWS Security Hub，則可能會看到 AWS CDK 引導過程創建的某些資源的發現結果報告。Security Hub 發現項目可協助您尋找應該仔細檢查準確性和安全性的資源組態。我們已透過 AWS Security 檢閱這些特定的資源組態，並確信它們不會構成安全性問題。

[KMS.2] IAM 主體不應具有允許對所有 KMS 金鑰進行解密動作的 IAM 內嵌政策

部署角色 (DeploymentActionRole) 授與讀取加密資料的權限，這對於使用 CDK Pipelines 進行跨帳戶部署是必要的。此角色的原則不會授與所有資料的權限。只有在這些資源允許透過儲存貯體或金鑰政策時 AWS KMS，才授予從 Amazon S3 讀取加密資料的權限。

以下是啟動程序範本中部署角色中這兩個陳述式的片段：

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...

為什麼 Security Hub 標記這個？

這些策略包含一個Resource: *與Condition子句的組合。Security Hub 標記*萬用字元。使用此萬用字元是因為在啟動載入帳戶時，CDK Pipelines 針對 CodePipeline 成品值區建立的 AWS KMS 金鑰尚不存在，因此 ARN 無法在啟動程序範本上參考。此外，提高此標誌時，Security Hub 不會考慮Condition子句。這Condition限制Resource: *了從相同 AWS 帳戶 的 AWS KMS 密鑰發出的請求。這些請求必須來自 Amazon S3 的 AWS KMS 金鑰 AWS 區域 相同。

我需要解決這個發現嗎？

只要您尚未將啟動程序範本上的 AWS KMS 金鑰修改為過於寬容，部署角色就不允許超過所需的存取權限。因此，沒有必要修復此發現。

如果我想解決這個發現怎麼辦？

如何修正此發現項目取決於您是否將使用 CDK Pipelines 進行跨帳戶部署。

考量事項

由於啟動安裝會在您的環境中佈建資源， AWS 因此當這些資源與. AWS CDK