這是 AWS CDK v2 開發人員指南。較舊的 CDK v1 於 2022 年 6 月 1 日進入維護，並於 2023 年 6 月 1 日結束支援。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

啟動環境以搭配 使用 AWS CDK

啟動您的 AWS 環境，為 AWS Cloud Development Kit (AWS CDK) 堆疊部署做好準備。

如何啟動您的環境

您可以使用 AWS CDK 命令列介面 （AWS CDK CLI） 或您偏好的 AWS CloudFormation 部署工具來啟動環境。

使用 CDK CLI

您可以使用 CDK CLI cdk bootstrap 命令來啟動您的環境。如果您不需要對引導進行重大修改，建議您使用這種方法。

如需cdk bootstrap命令和支援選項的詳細資訊，請參閱 cdk bootstrap。

使用任何 AWS CloudFormation 工具

您可以從 aws-cdk 複製引導範本 GitHub 儲存庫或使用 cdk bootstrap --show-template命令取得範本。然後，使用任何 AWS CloudFormation 工具將範本部署到您的環境中。

透過此方法，您可以使用 AWS CloudFormation StackSets 或 AWS Control Tower。您也可以使用 AWS CloudFormation 主控台或 AWS Command Line Interface （AWS CLI）。您可以在部署範本之前對其進行修改。此方法可能更靈活，且適用於大規模部署。

以下是使用 --show-template選項將引導範本擷取並儲存至本機機器的範例：

macOS/Linux

$ cdk bootstrap --show-template > bootstrap-template.yaml

Windows

在 Windows 上， PowerShell 必須使用 來保留範本的編碼。

powershell "cdk bootstrap --show-template | Out-File -encoding utf8 bootstrap-template.yaml"

使用 部署此範本 CDK CLI，您可以執行下列動作：

$ cdk bootstrap --template bootstrap-template.yaml

以下是使用 AWS CLI 部署 範本的範例：

macOS/Linux

aws cloudformation create-stack \
  --stack-name CDKToolkit \
  --template-body file://path/to/bootstrap-template.yaml \
  --capabilities CAPABILITY_NAMED_IAM \
  --region us-west-1

Windows

aws cloudformation create-stack ^
  --stack-name CDKToolkit ^
  --template-body file://path/to/bootstrap-template.yaml ^
  --capabilities CAPABILITY_NAMED_IAM ^
  --region us-west-1

如需使用 CloudFormation StackSets 來引導多個環境的資訊，請參閱在 AWS Cloud Operations & Migrations 部落格 中啟動多個 AWS 帳戶 以供 AWS CDK 使用 CloudFormation StackSets。

何時啟動您的環境

您必須先啟動每個 AWS 環境，才能部署到環境中。建議您主動引導計劃使用的每個環境。您可以在計劃實際將CDK應用程式部署到環境中之前執行此操作。透過主動引導您的環境，您可以防止潛在的未來問題，例如 Amazon S3 儲存貯體名稱衝突，或將CDK應用程式部署到尚未引導的環境。

可以多次啟動環境。如果環境已啟動，必要時將會升級引導堆疊。否則，不會發生任何情況。

如果您嘗試將CDK堆疊部署到尚未啟動的環境中，您會看到如下所示的錯誤：

$ cdk deploy

✨  Synthesis time: 2.02s

 ❌ Deployment failed: Error: BootstrapExampleStack: SSM parameter /cdk-bootstrap/hnb659fds/version not found. Has the environment been bootstrapped? Please run 'cdk bootstrap' (see https://docs.aws.amazon.com/cdk/latest/guide/bootstrapping.html)

更新您的引導堆疊

CDK 團隊會定期將引導範本更新為新版本。發生這種情況時，建議您更新引導堆疊。如果您尚未自訂引導程序，您可以按照最初引導環境時採取的相同步驟來更新引導堆疊。如需詳細資訊，請參閱Bootstrap 範本版本歷史記錄。

在引導期間建立的預設資源

IAM 在引導期間建立的角色

根據預設，引導會在您的環境中佈建下列 AWS Identity and Access Management （IAM） 角色：

在引導期間IDs建立的資源

部署預設引導範本時，會使用下列結構建立引導資源IDs的實體：cdk-qualifier-description-account-ID-Region。

以下是在引導期間建立的 Amazon S3 預備儲存貯體的實體 ID 範例：cdk-hnb659fds-assets-012345678910-us-west-1。

啟動環境時使用的許可

在引導 AWS 環境時，執行引導的IAM身分必須至少具有下列許可：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudformation:*",
                "ecr:*",
                "ssm:*",
                "s3:*",
                "iam:*"
            ],
            "Resource": "*"
        }
    ]
}

隨著時間的推移，引導堆疊，包括建立的資源和所需的許可可能會變更。隨著未來的變更，您可能需要修改啟動環境所需的許可。

自訂引導

如果預設引導範本不符合您的需求，您可以透過下列方式將資源引導自訂為環境中的資源引導：

如需自訂引導的詳細資訊，請參閱 自訂 AWS CDK 引導。

使用CDK管道啟動

如果您使用CDK管道部署到另一個 帳戶的環境，並且收到如下訊息：

Policy contains a statement with one or more invalid principals

此錯誤訊息表示其他環境中不存在適當的IAM角色。最可能的原因是環境尚未啟動。啟動環境，然後再試一次。

保護您的引導堆疊免於刪除

如果刪除引導堆疊，則最初在環境中佈建以支援CDK部署 AWS 的資源也會遭到刪除。這會導致管道停止運作。如果發生這種情況，則沒有一般的復原解決方案。

環境開機後，請勿刪除並重新建立環境的開機堆疊。反之，請嘗試再次執行 cdk bootstrap命令，將引導堆疊更新為新版本。

為了防止意外刪除您的引導堆疊，我們建議您提供 cdk bootstrap --termination-protection選項，以啟用終止保護。您可以在新的或現有的引導堆疊上啟用終止保護。如需啟用終止保護的指示，請參閱啟用引導堆疊的終止保護 。

Bootstrap 範本版本歷史記錄

引導範本會進行版本化，並隨著 AWS CDK 本身隨著時間演進。如果您提供自己的引導範本，請使用標準預設範本來保持最新狀態。您想要確保範本繼續與所有CDK功能搭配使用。

本節包含每個版本所做的變更清單。

從舊版升級至現代引導範本

AWS CDK v1 支援兩個引導範本，傳統和現代。CDK v2 僅支援現代範本。以下是這兩個範本之間的高階差異，以供參考。

* 我們會視需要將其他資源新增至引導範本。

使用舊版範本開機的環境必須升級，才能透過重新開機來使用 CDK v2 的現代範本。在刪除舊版儲存貯體之前，至少重新部署環境中的所有 AWS CDK 應用程式一次。

地址 Security Hub 調查結果

如果您使用的是 AWS Security Hub，您可能會在引導程序建立 AWS CDK 的一些資源上看到報告的結果。Security Hub 調查結果可協助您尋找資源組態，並再次檢查其準確性和安全性。我們已與 AWS Security 一起檢閱這些特定資源組態，並確信它們不會構成安全問題。

【KMS.2】 IAM主體不應具有允許對所有KMS金鑰進行解密動作的IAM內嵌政策

部署角色 （DeploymentActionRole） 授予許可，以讀取使用CDK管道跨帳戶部署所需的加密資料。此角色中的政策不會授予所有資料的許可。它只授予許可，以從 Amazon S3 和 讀取加密資料 AWS KMS，並且只有在這些資源透過儲存貯體或金鑰政策允許時，才允許讀取加密資料。

以下是從引導範本部署角色中這兩個陳述式的片段：

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...

Security Hub 為何標記此項目？

這些政策包含 與 Condition 子句的Resource: *組合。Security Hub 會標記*萬用字元。此萬用字元的使用是因為在帳戶啟動時，CDKPipelines 為 CodePipeline 成品儲存貯體建立的 AWS KMS 金鑰尚不存在，因此， 無法在開機範本上參考ARN。此外，Security Hub 在發出此旗標時不會考慮 Condition子句。這Condition限制Resource: *為從相同 AWS 帳戶 AWS KMS 金鑰發出的請求。這些請求必須來自 Amazon S3， AWS 區域 且與 AWS KMS 金鑰相同。

我需要修正此調查結果嗎？

只要您尚未將引導範本上的 AWS KMS 金鑰修改為過度寬鬆，部署角色就不允許超出其所需的存取權。因此，不需要修正此調查結果。

如果我想要修正此調查結果，該怎麼辦？

如何修正此調查結果取決於您是否將使用CDK管道進行跨帳戶部署。

考量事項

由於引導會在您的環境中佈建資源，因此當這些資源與 搭配使用時，可能會產生 AWS 費用 AWS CDK。