引导环境以用于 AWS CDK

您可以使用 CDK CLI cdk bootstrap 命令来引导环境。如果您不需要对引导进行重大修改，我们建议您使用此方法。

您可以从 aws-cdk-cli GitHub 存储库中复制引导模板或使用 cdk bootstrap --show-template 命令获取模板。然后，使用任何 AWS CloudFormation 工具将模板部署到您的环境。

通过此方法，您可以使用 AWS CloudFormation StackSets 或 AWS Control Tower。您还可以使用 AWS CloudFormation 控制台或 AWS 命令行界面 (AWS CLI)。在部署模板之前，您可以对其进行修改。这种方法可能更灵活，适合大规模部署。

以下是使用 --show-template 选项检索引导模板并将其保存到本地计算机的示例：

要使用 CDK CLI 部署此模板，可以运行以下命令：

$ cdk bootstrap --template <bootstrap-template.yaml>

下面是使用 AWS CLI 部署模板的示例：

有关使用 CloudFormation StackSets 引导多个环境的信息，请参阅 AWS 云运营和迁移博客中的 Bootstrapping multiple AWS accounts for AWS CDK using CloudFormation StackSets。

CDK 团队会定期将引导模板更新到新版本。发生这种情况时，我们建议您更新引导堆栈。如果您尚未自定义引导过程，则可以按照最初引导环境时所执行的相同步骤来更新引导堆栈。有关更多信息，请参阅引导模板版本历史记录。

默认情况下，引导会在您的环境中预置以下 AWS Identity and Access Management (IAM) 角色：

部署默认引导模板时，系统会使用以下结构创建引导资源的物理 ID：cdk-<qualifier>-<description>-<account-ID>-<Region>。

以下是在引导期间创建的 Amazon S3 暂存存储桶的物理 ID 示例：cdk-hnb659fds-assets-012345678910-us-west-1。

如果引导堆栈被删除，则最初在环境中为支持 CDK 部署而预置的 AWS 资源也将被删除。这将导致管线停止工作。如果发生这种情况，没有通用的恢复解决方案。

引导环境后，请勿删除并重新创建环境的引导堆栈。而应尝试通过再次运行 cdk bootstrap 命令将引导堆栈更新到新版本。

为了防止引导堆栈被意外删除，我们建议您在 cdk bootstrap 命令中提供 --termination-protection 选项来启用终止保护。您可以在新的或现有的引导堆栈上启用终止保护。有关启用终止保护的说明，请参阅为引导堆栈启用终止保护。

部署角色 (DeploymentActionRole) 授予读取加密数据的权限，这是使用 CDK 管线进行跨账户部署所必需的。此角色中的策略不授予对所有数据的权限。它仅授予从 Amazon S3 和 AWS KMS 读取加密数据的权限，并且仅当这些资源通过其存储桶或密钥政策允许时授予。

下面是引导模板中部署角色的两个语句的代码段：

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...