Questa è la guida per sviluppatori AWS CDK v2. La versione precedente della CDK versione 1 è entrata in manutenzione il 1° giugno 2022 e ha terminato il supporto il 1° giugno 2023.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Avvia il tuo ambiente per utilizzarlo con AWS CDK

Avvia il tuo AWS ambiente per prepararlo alle distribuzioni in AWS Cloud Development Kit (AWS CDK) stack.

Come avviare il proprio ambiente

È possibile utilizzare l'interfaccia a AWS CDK riga di comando (AWS CDK CLI) o lo strumento di AWS CloudFormation distribuzione preferito per avviare il proprio ambiente.

Usa il CDK CLI

È possibile utilizzare il CDK CLI cdk bootstrapcomando per avviare il tuo ambiente. Questo è il metodo che consigliamo se non hai bisogno di modifiche significative al bootstrap.

Per ulteriori informazioni sul cdk bootstrap comando e sulle opzioni supportate, consultacdk bootstrap.

Usa qualsiasi AWS CloudFormation strumento

Puoi copiare il modello di bootstrap da aws-cdk GitHub repository o ottieni il modello con il comando. cdk bootstrap --show-template Quindi, utilizza qualsiasi AWS CloudFormation strumento per distribuire il modello nel tuo ambiente.

Con questo metodo, puoi usare AWS CloudFormation StackSets o AWS Control Tower. Puoi anche usare la AWS CloudFormation console o il AWS Command Line Interface (AWS CLI). È possibile apportare modifiche al modello prima di distribuirlo. Questo metodo può essere più flessibile e adatto per implementazioni su larga scala.

Di seguito è riportato un esempio di utilizzo dell'--show-templateopzione per recuperare e salvare il modello di bootstrap sul computer locale:

macOS/Linux

$ cdk bootstrap --show-template > bootstrap-template.yaml

Windows

In Windows, PowerShell deve essere utilizzato per preservare la codifica del modello.

powershell "cdk bootstrap --show-template | Out-File -encoding utf8 bootstrap-template.yaml"

Per distribuire questo modello utilizzando il CDK CLI, è possibile eseguire quanto segue:

$ cdk bootstrap --template bootstrap-template.yaml

Di seguito è riportato un esempio di utilizzo di AWS CLI per distribuire il modello:

macOS/Linux

aws cloudformation create-stack \
  --stack-name CDKToolkit \
  --template-body file://path/to/bootstrap-template.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-west-1

Windows

aws cloudformation create-stack ^
  --stack-name CDKToolkit ^
  --template-body file://path/to/bootstrap-template.yaml ^
  --capabilities CAPABILITY_NAMED_IAM ^
  --region us-west-1

Per informazioni sull'utilizzo CloudFormation StackSets per avviare più ambienti, consulta Bootstrapping multiple Account AWS for AWS CDK use CloudFormation StackSets nel blog AWSCloud Operations & Migrations.

Quando avviare il proprio ambiente

È necessario avviare ogni AWS ambiente prima di distribuirlo nell'ambiente. Ti consigliamo di avviare in modo proattivo ogni ambiente che intendi utilizzare. Puoi farlo prima di pianificare l'effettiva distribuzione CDK delle app nell'ambiente. Avviando in modo proattivo i tuoi ambienti, previeni potenziali problemi futuri, come i conflitti tra i nomi dei bucket Amazon S3 o la distribuzione di CDK app in ambienti che non sono stati avviati.

È possibile avviare un ambiente più di una volta. Se un ambiente è già stato avviato, lo stack di bootstrap verrà aggiornato se necessario. Altrimenti non succederà nulla.

Se tenti di implementare uno CDK stack in un ambiente che non è stato avviato, vedrai un errore simile al seguente:

$ cdk deploy

✨  Synthesis time: 2.02s

 ❌ Deployment failed: Error: BootstrapExampleStack: SSM parameter /cdk-bootstrap/hnb659fds/version not found. Has the environment been bootstrapped? Please run 'cdk bootstrap' (see https://docs.aws.amazon.com/cdk/latest/guide/bootstrapping.html)

Aggiorna lo stack di bootstrap

Periodicamente, il CDK team aggiornerà il modello di bootstrap a una nuova versione. Quando ciò accade, ti consigliamo di aggiornare lo stack di bootstrap. Se non hai personalizzato il processo di bootstrap, puoi aggiornare lo stack di bootstrap seguendo gli stessi passaggi utilizzati originariamente per avviare il tuo ambiente. Per ulteriori informazioni, consulta Cronologia delle versioni del modello Bootstrap.

Risorse predefinite create durante il bootstrap

IAMruoli creati durante il bootstrap

Per impostazione predefinita, il bootstrap prevede i seguenti AWS Identity and Access Management (IAM) ruoli nell'ambiente:

Risorsa IDs creata durante il bootstrap

Quando si distribuisce il modello di bootstrap predefinito, le risorse fisiche IDs per bootstrap vengono create utilizzando la seguente struttura:. cdk-qualifier-description-account-ID-Region

Di seguito è riportato un esempio di ID fisico del bucket di staging Amazon S3 creato durante il bootstrap:. cdk-hnb659fds-assets-012345678910-us-west-1

Autorizzazioni da utilizzare durante il bootstrap del proprio ambiente

Quando si avvia un AWS ambiente, l'IAMidentità che esegue il bootstrap deve disporre almeno delle seguenti autorizzazioni:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:*",
                "ecr:*",
                "ssm:*",
                "s3:*",
                "iam:*"
            ],
            "Resource": "*"
        }
    ]
}

Nel tempo, lo stack di bootstrap, incluse le risorse create e le autorizzazioni necessarie, potrebbe cambiare. Con le modifiche future, potrebbe essere necessario modificare le autorizzazioni necessarie per avviare un ambiente.

Personalizza il bootstrap

Se il modello di bootstrap predefinito non soddisfa le tue esigenze, puoi personalizzare l'avvio delle risorse nel tuo ambiente nei seguenti modi:

Per ulteriori informazioni sulla personalizzazione del bootstrap, consulta. Personalizza il AWS CDK bootstrap

Bootstrap con Pipeline CDK

Se utilizzi CDK Pipelines per la distribuzione nell'ambiente di un altro account e ricevi un messaggio simile al seguente:

Policy contains a statement with one or more invalid principals

Questo messaggio di errore indica che i IAM ruoli appropriati non esistono nell'altro ambiente. La causa più probabile è che l'ambiente non è stato avviato. Avvia l'ambiente e riprova.

Proteggere lo stack di bootstrap dall'eliminazione

Se uno stack di bootstrap viene eliminato, verranno eliminate anche le AWS risorse originariamente fornite nell'ambiente per supportare le CDK distribuzioni. Ciò causerà l'interruzione del funzionamento della pipeline. Se ciò accade, non esiste una soluzione generale per il ripristino.

Dopo aver avviato l'ambiente, non eliminate e ricreate lo stack di bootstrap dell'ambiente. Prova invece ad aggiornare lo stack di bootstrap a una nuova versione eseguendo nuovamente il comando. cdk bootstrap

Per evitare l'eliminazione accidentale dello stack di bootstrap, ti consigliamo di fornire l'--termination-protectionopzione con il cdk bootstrap comando per abilitare la protezione dalla terminazione. È possibile abilitare la protezione dalla terminazione su stack di bootstrap nuovi o esistenti. Per istruzioni su come abilitare la protezione dalla terminazione, consulta Abilitare la protezione dalla terminazione per lo stack di bootstrap.

Cronologia delle versioni del modello Bootstrap

Il modello bootstrap è dotato di versioni e si evolve nel tempo con se stesso. AWS CDK Se fornisci il tuo modello di bootstrap, tienilo aggiornato con il modello canonico predefinito. Vuoi assicurarti che il tuo modello continui a funzionare con tutte le funzionalità. CDK

Questa sezione contiene un elenco delle modifiche apportate in ogni versione.

Esegui l'aggiornamento dal modello bootstrap precedente a quello moderno

La AWS CDK v1 supportava due modelli di bootstrap, legacy e moderni. CDKv2 supporta solo il modello moderno. Per riferimento, ecco le differenze di alto livello tra questi due modelli.

* Aggiungeremo risorse aggiuntive al modello di bootstrap secondo necessità.

Un ambiente che è stato avviato utilizzando il modello precedente deve essere aggiornato per utilizzare il modello moderno per la v2 mediante riavvio. CDK Ridistribuisci tutte le AWS CDK applicazioni nell'ambiente almeno una volta prima di eliminare il bucket legacy.

Indirizza i risultati del Security Hub

Se lo utilizzi AWS Security Hub, potresti vedere i risultati riportati su alcune delle risorse create dal processo di AWS CDK bootstrap. I risultati del Security Hub ti aiutano a trovare le configurazioni delle risorse che dovresti ricontrollare per verificarne l'accuratezza e la sicurezza. Abbiamo esaminato queste configurazioni specifiche delle risorse con AWS Security e siamo certi che non costituiscano un problema di sicurezza.

[KMS.2] IAM i principali non dovrebbero avere politiche in IAM linea che consentano azioni di decrittografia su tutte le chiavi KMS

Il deploy role (DeploymentActionRole) concede l'autorizzazione a leggere i dati crittografati, necessaria per le distribuzioni tra account con Pipelines. CDK Le politiche in questo ruolo non concedono l'autorizzazione a tutti i dati. Concede l'autorizzazione a leggere i dati crittografati da Amazon S3 AWS KMS e solo quando tali risorse lo consentono tramite la policy del bucket o della chiave.

Di seguito è riportato un frammento di queste due istruzioni nel ruolo di distribuzione tratte dal modello bootstrap:

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...

Perché Security Hub lo segnala?

Le politiche contengono una clausola Resource: * combinata con una Condition clausola. Security Hub contrassegna il carattere * jolly. Questa jolly viene utilizzata perché al momento dell'avvio dell'account, la AWS KMS chiave creata da CDK Pipelines per il bucket degli CodePipeline artefatti non esiste ancora e quindi non può essere referenziata nel modello di bootstrap da. ARN Inoltre, Security Hub non prende in considerazione la Condition clausola quando alza questa bandiera. Ciò Condition si limita Resource: * alle richieste effettuate dalla stessa Account AWS chiave. AWS KMS Queste richieste devono provenire da Amazon S3 nella Regione AWS stessa chiave. AWS KMS

Devo correggere questo risultato?

Finché non hai modificato la AWS KMS chiave sul tuo modello di bootstrap per renderla eccessivamente permissiva, il ruolo deploy non consente più accessi del necessario. Pertanto, non è necessario correggere questo risultato.

E se volessi correggere questo risultato?

Il modo in cui correggi questo risultato dipende dal fatto che utilizzerai o meno CDK Pipelines per le distribuzioni tra account.

Considerazioni

Poiché si esegue il provisioning delle risorse nell'ambiente in uso, è possibile che vengano AWS addebitati costi quando tali risorse vengono utilizzate con. AWS CDK