Ini adalah Panduan Pengembang AWS CDK v2. CDKV1 yang lebih lama memasuki pemeliharaan pada 1 Juni 2022 dan mengakhiri dukungan pada 1 Juni 2023.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Bootstrap lingkungan Anda untuk digunakan dengan AWS CDK

Bootstrap AWS lingkungan Anda untuk mempersiapkannya untuk penerapan AWS Cloud Development Kit (AWS CDK) tumpukan.

Cara mem-bootstrap lingkungan Anda

Anda dapat menggunakan Antarmuka Baris AWS CDK Perintah (AWS CDK CLI) atau alat AWS CloudFormation penyebaran pilihan Anda untuk bootstrap lingkungan Anda.

Gunakan CDK CLI

Anda dapat menggunakan CDK CLI cdk bootstrapperintah untuk bootstrap lingkungan Anda. Ini adalah metode yang kami sarankan jika Anda tidak memerlukan modifikasi signifikan untuk bootstrap.

Untuk informasi selengkapnya tentang cdk bootstrap perintah dan opsi yang didukung, lihatcdk bootstrap.

Gunakan AWS CloudFormation alat apa saja

Anda dapat menyalin template bootstrap dari aws-cdk GitHub repositori atau dapatkan template dengan perintah. cdk bootstrap --show-template Kemudian, gunakan AWS CloudFormation alat apa pun untuk menyebarkan template ke lingkungan Anda.

Dengan metode ini, Anda dapat menggunakan AWS CloudFormation StackSets atau AWS Control Tower. Anda juga dapat menggunakan AWS CloudFormation konsol atau AWS Command Line Interface (AWS CLI). Anda dapat membuat modifikasi pada template Anda sebelum Anda menerapkannya. Metode ini mungkin lebih fleksibel dan cocok untuk penyebaran skala besar.

Berikut ini adalah contoh penggunaan --show-template opsi untuk mengambil dan menyimpan template bootstrap ke mesin lokal Anda:

macOS/Linux

$ cdk bootstrap --show-template > bootstrap-template.yaml

Windows

Pada Windows, PowerShell harus digunakan untuk melestarikan pengkodean template.

powershell "cdk bootstrap --show-template | Out-File -encoding utf8 bootstrap-template.yaml"

Untuk menyebarkan template ini menggunakan CDK CLI, Anda dapat menjalankan yang berikut ini:

$ cdk bootstrap --template bootstrap-template.yaml

Berikut ini adalah contoh penggunaan AWS CLI untuk menyebarkan template:

macOS/Linux

aws cloudformation create-stack \
  --stack-name CDKToolkit \
  --template-body file://path/to/bootstrap-template.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-west-1

Windows

aws cloudformation create-stack ^
  --stack-name CDKToolkit ^
  --template-body file://path/to/bootstrap-template.yaml ^
  --capabilities CAPABILITY_NAMED_IAM ^
  --region us-west-1

Untuk informasi tentang penggunaan CloudFormation StackSets untuk mem-bootstrap beberapa lingkungan, lihat Bootstrapping multiple Akun AWS untuk AWS CDK digunakan CloudFormation StackSets di Blog Operasi & Migrasi AWS Cloud.

Kapan harus mem-bootstrap lingkungan Anda

Anda harus mem-bootstrap setiap AWS lingkungan sebelum Anda menyebarkan ke lingkungan. Kami menyarankan Anda secara proaktif mem-bootstrap setiap lingkungan yang Anda rencanakan untuk digunakan. Anda dapat melakukan ini sebelum Anda berencana untuk benar-benar menerapkan CDK aplikasi ke lingkungan. Dengan mem-bootstrap lingkungan secara proaktif, Anda mencegah potensi masalah masa depan seperti konflik nama bucket Amazon S3 atau menerapkan CDK aplikasi ke lingkungan yang belum di-bootstrap.

Tidak apa-apa untuk mem-bootstrap lingkungan lebih dari sekali. Jika lingkungan telah di-bootstrap, tumpukan bootstrap akan ditingkatkan jika perlu. Kalau tidak, tidak akan terjadi apa-apa.

Jika Anda mencoba menerapkan CDK tumpukan ke lingkungan yang belum di-bootstrap, Anda akan melihat kesalahan seperti berikut:

$ cdk deploy

✨  Synthesis time: 2.02s

 ❌ Deployment failed: Error: BootstrapExampleStack: SSM parameter /cdk-bootstrap/hnb659fds/version not found. Has the environment been bootstrapped? Please run 'cdk bootstrap' (see https://docs.aws.amazon.com/cdk/latest/guide/bootstrapping.html)

Perbarui tumpukan bootstrap Anda

Secara berkala, CDK tim akan memperbarui template bootstrap ke versi baru. Ketika ini terjadi, kami sarankan Anda memperbarui tumpukan bootstrap Anda. Jika Anda belum menyesuaikan proses bootstrap, Anda dapat memperbarui tumpukan bootstrap Anda dengan mengikuti langkah-langkah yang sama yang Anda ambil untuk mem-bootstrap lingkungan Anda. Untuk informasi selengkapnya, lihat Riwayat versi template bootstrap.

Sumber daya default dibuat selama bootstrap

IAMperan yang dibuat selama bootstrap

Secara default, bootstrap menyediakan peran AWS Identity and Access Management (IAM) berikut di lingkungan Anda:

Sumber daya IDs dibuat selama bootstrap

Saat Anda menerapkan template bootstrap default, fisik IDs untuk sumber daya bootstrap dibuat menggunakan struktur berikut:cdk-qualifier-description-account-ID-Region.

Berikut ini adalah contoh ID fisik bucket pementasan Amazon S3 yang dibuat selama bootstrap:. cdk-hnb659fds-assets-012345678910-us-west-1

Izin untuk digunakan saat bootstrap lingkungan Anda

Saat melakukan bootstrap AWS lingkungan, IAM identitas yang melakukan bootstrap harus memiliki setidaknya izin berikut:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:*",
                "ecr:*",
                "ssm:*",
                "s3:*",
                "iam:*"
            ],
            "Resource": "*"
        }
    ]
}

Seiring waktu, tumpukan bootstrap, termasuk sumber daya yang dibuat dan izin yang mereka butuhkan, dapat berubah. Dengan perubahan future, Anda mungkin perlu memodifikasi izin yang diperlukan untuk mem-bootstrap lingkungan.

Kustomisasi bootstrap

Jika template bootstrap default tidak sesuai dengan kebutuhan Anda, Anda dapat menyesuaikan bootstrap sumber daya ke lingkungan Anda dengan cara berikut:

Untuk informasi selengkapnya tentang menyesuaikan bootstrap, lihat. Sesuaikan AWS CDK bootstrap

Bootstrapping dengan Pipelines CDK

Jika Anda menggunakan CDK Pipelines untuk menyebarkan ke lingkungan akun lain, dan Anda menerima pesan seperti berikut:

Policy contains a statement with one or more invalid principals

Pesan kesalahan ini berarti bahwa IAM peran yang sesuai tidak ada di lingkungan lain. Penyebab yang paling mungkin adalah bahwa lingkungan belum di-bootstrap. Bootstrap lingkungan dan coba lagi.

Melindungi tumpukan bootstrap Anda dari penghapusan

Jika tumpukan bootstrap dihapus, AWS sumber daya yang awalnya disediakan di lingkungan untuk mendukung CDK penerapan juga akan dihapus. Ini akan menyebabkan pipa berhenti bekerja. Jika ini terjadi, tidak ada solusi umum untuk pemulihan.

Setelah lingkungan Anda di-bootstrap, jangan hapus dan buat ulang tumpukan bootstrap lingkungan. Sebagai gantinya, coba perbarui tumpukan bootstrap ke versi baru dengan menjalankan cdk bootstrap perintah lagi.

Untuk melindungi dari penghapusan tumpukan bootstrap Anda secara tidak sengaja, kami sarankan Anda memberikan --termination-protection opsi dengan cdk bootstrap perintah untuk mengaktifkan perlindungan terminasi. Anda dapat mengaktifkan perlindungan terminasi pada tumpukan bootstrap baru atau yang sudah ada. Untuk petunjuk tentang mengaktifkan perlindungan terminasi, lihat Mengaktifkan perlindungan terminasi untuk tumpukan bootstrap.

Riwayat versi template bootstrap

Template bootstrap berversi dan berkembang seiring waktu dengan dirinya sendiri. AWS CDK Jika Anda menyediakan template bootstrap Anda sendiri, tetap up to date dengan template default kanonik. Anda ingin memastikan bahwa template Anda terus bekerja dengan semua CDK fitur.

Bagian ini berisi daftar perubahan yang dibuat di setiap versi.

Tingkatkan dari template bootstrap lama ke modern

AWS CDK V1 mendukung dua template bootstrap, warisan dan modern. CDKv2 hanya mendukung template modern. Sebagai referensi, berikut adalah perbedaan tingkat tinggi antara kedua templat ini.

* Kami akan menambahkan sumber daya tambahan ke template bootstrap sesuai kebutuhan.

Lingkungan yang di-bootstrap menggunakan template lama harus ditingkatkan untuk menggunakan template modern untuk v2 dengan melakukan bootstrapping ulang. CDK Terapkan ulang semua AWS CDK aplikasi di lingkungan setidaknya sekali sebelum menghapus bucket lama.

Alamat Temuan Security Hub

Jika Anda menggunakan AWS Security Hub, Anda mungkin melihat temuan yang dilaporkan pada beberapa sumber daya yang dibuat oleh proses AWS CDK bootstrap. Temuan Security Hub membantu Anda menemukan konfigurasi sumber daya yang harus Anda periksa ulang untuk akurasi dan keamanannya. Kami telah meninjau konfigurasi sumber daya khusus ini dengan AWS Keamanan dan yakin itu bukan merupakan masalah keamanan.

[KMS.2] IAM prinsipal tidak boleh memiliki kebijakan IAM sebaris yang memungkinkan tindakan dekripsi pada semua kunci KMS

Deploy role (DeploymentActionRole) memberikan izin untuk membaca data terenkripsi, yang diperlukan untuk penerapan lintas akun dengan Pipelines. CDK Kebijakan dalam peran ini tidak memberikan izin untuk semua data. Ini hanya memberikan izin untuk membaca data terenkripsi dari Amazon S3 dan AWS KMS, dan hanya jika sumber daya tersebut mengizinkannya melalui bucket atau kebijakan kunci mereka.

Berikut ini adalah cuplikan dari dua pernyataan ini dalam peran penerapan dari template bootstrap:

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...

Mengapa Security Hub menandai ini?

Kebijakan berisi Resource: * gabungan dengan Condition klausa. Security Hub menandai * wildcard. Wildcard ini digunakan karena pada saat akun di-bootstrap, AWS KMS kunci yang dibuat oleh CDK Pipelines untuk bucket CodePipeline artefak belum ada, dan oleh karena itu, tidak dapat direferensikan pada template bootstrap oleh. ARN Selain itu, Security Hub tidak mempertimbangkan Condition klausa saat menaikkan bendera ini. Ini Condition membatasi permintaan Resource: * yang dibuat dari AWS KMS kunci Akun AWS yang sama. Permintaan ini harus berasal dari Amazon S3 Wilayah AWS sama dengan kuncinya. AWS KMS

Apakah saya perlu memperbaiki temuan ini?

Selama Anda belum memodifikasi AWS KMS kunci pada template bootstrap Anda menjadi terlalu permisif, peran penerapan tidak memungkinkan lebih banyak akses daripada yang dibutuhkan. Oleh karena itu, tidak perlu memperbaiki temuan ini.

Bagaimana jika saya ingin memperbaiki temuan ini?

Cara Anda memperbaiki temuan ini tergantung pada apakah Anda akan menggunakan CDK Pipelines untuk penerapan lintas akun atau tidak.

Pertimbangan

Karena bootstrap menyediakan sumber daya di lingkungan Anda, Anda mungkin dikenakan AWS biaya ketika sumber daya tersebut digunakan dengan. AWS CDK