AWS CDK で使用する環境をブートストラップする

CDK CLI の cdk bootstrap コマンドを使用して、環境をブートストラップできます。これは、ブートストラップに大幅な変更が必要ない場合に推奨される方法です。

ブートストラップテンプレートを aws-cdk-cli GitHub リポジトリからコピーするか、cdk bootstrap --show-template コマンドを使用してテンプレートを取得できます。次に、任意の AWS CloudFormation ツールを使用してテンプレートを環境にデプロイします。

この方法では、AWS CloudFormation StackSets または AWS Control Tower を使用できます。AWS CloudFormation コンソールまたは AWS コマンドラインインターフェイス (AWS CLI) を使用することもできます。デプロイする前なら、テンプレートには変更を加えることができます。この方法はより柔軟であり、大規模なデプロイに適しています。

以下は、--show-template オプションを使用してブートストラップテンプレートを取得し、ローカルマシンに保存する方法の例です。

CDK CLI を使用してこのテンプレートをデプロイするには、以下を実行します。

$ cdk bootstrap --template <bootstrap-template.yaml>

AWS CLI を使用してテンプレートをデプロイする場合の例を以下に示します。

CloudFormation StackSets を使用して複数の環境をブートストラップする方法については、「AWS クラウド運用および移行ブログ」の「CloudFormation StackSets を使用する AWS CDK のための複数の AWS アカウントのブートストラップ」を参照してください。

CDK チームは定期的にブートストラップテンプレートを新しいバージョンに更新します。この場合、ブートストラップスタックを更新することをおすすめします。ブートストラッププロセスをカスタマイズしていない場合は、最初に環境をブートストラップするために実行したのと同じ手順に従って、ブートストラップスタックを更新できます。詳細については、「ブートストラップテンプレートのバージョン履歴」を参照してください。

デフォルトでは、ブートストラップは環境内で以下の AWS Identity and Access Management (IAM) ロールをプロビジョニングします。

デフォルトのブートストラップテンプレートをデプロイすると、ブートストラップのリソースの ID は、cdk-<qualifier>-<description>-<account-ID>-<Region> という構造を用いて作成されます。

ブートストラップ中に作成された Amazon S3 ステージングバケットの物理 ID の例を次に示します。 cdk-hnb659fds-assets-012345678910-us-west-1

ブートストラップスタックが削除されると、CDK デプロイをサポートするために環境で最初にプロビジョニングされた AWS リソースも削除されます。これにより、パイプラインの動作が停止します。これが起きると、復旧のための一般的なソリューションはありません。

環境がブートストラップされた後は、環境のブートストラップスタックの削除と再作成は行わないでください。代わりに、cdk bootstrap コマンドを再度実行して、ブートストラップスタックを新しいバージョンに更新してみてください。

ブートストラップスタックが誤って削除されないように保護するには、終了保護を有効にする --termination-protection オプションに cdk bootstrap コマンドを指定することをおすすめします。新規または既存のブートストラップスタックで終了保護を有効にすることができます。終了保護を有効にする手順については、「ブートストラップスタックの終了保護を有効にする」を参照してください。

デプロイロール (DeploymentActionRole) は、暗号化されたデータを読み取るアクセス許可を付与します。これは、CDK Pipelines でのクロスアカウントデプロイに必要です。このロールのポリシーは、すべてのデータにアクセス許可を付与しません。Amazon S3 と AWS KMS から暗号化されたデータを読み取るアクセス許可を付与するのは、それらのリソースがバケットまたはキーポリシーを通じてデータを許可する場合のみです。

以下は、ブートストラップテンプレートからのデプロイロール内のこれら 2 つのステートメントのスニペットです。

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...