引導您的環境以搭配 AWS CDK 使用

您可以使用 CDK CLI cdk bootstrap命令來引導您的環境。如果您不需要對引導進行重大修改，我們建議使用此方法。

您可以從 aws-cdk-cli GitHub 儲存庫複製引導範本，或使用 cdk bootstrap --show-template命令取得範本。然後，使用 any AWS CloudFormation 工具將範本部署到您的環境中。

透過此方法，您可以使用 AWS CloudFormation StackSets 或 AWS Control Tower。您也可以使用 AWS CloudFormation 主控台或 AWS 命令列界面 (AWS CLI)。您可以在部署範本之前對其進行修改。此方法可能更靈活，且適用於大規模部署。

以下是使用 --show-template選項擷取引導範本並將其儲存至本機電腦的範例：

若要使用 CDK CLI 部署此範本，您可以執行下列動作：

$ cdk bootstrap --template <bootstrap-template.yaml>

以下是使用 AWS CLI 部署範本的範例：

如需有關使用 CloudFormation StackSets 引導多個環境的資訊，請參閱 AWS 雲端操作與遷移部落格中的使用 CloudFormation StackSets 引導多個 AWS CDK AWS 帳戶。

CDK 團隊會定期將引導範本更新為新版本。發生這種情況時，我們建議您更新引導堆疊。如果您尚未自訂引導程序，您可以依照最初引導環境所採取的相同步驟來更新引導堆疊。如需詳細資訊，請參閱引導範本版本歷史記錄。

根據預設，引導會在您的環境中佈建下列 AWS Identity and Access Management (IAM) 角色：

部署預設引導範本時，會使用下列結構建立引導資源IDs：cdk-<qualifier>-<description>-<account-ID>-<Region>。

以下是在引導期間建立的 Amazon S3 預備儲存貯體的實體 ID 範例：cdk-hnb659fds-assets-012345678910-us-west-1。

如果刪除引導堆疊，原本在環境中佈建以支援 CDK 部署 AWS 的資源也會遭到刪除。這會導致管道停止運作。如果發生這種情況，就沒有一般的復原解決方案。

環境開機後，請勿刪除並重新建立環境的開機堆疊。反之，請再次執行 cdk bootstrap命令，嘗試將引導堆疊更新為新版本。

為了防止意外刪除您的引導堆疊，建議您使用 cdk bootstrap命令提供 --termination-protection選項，以啟用終止保護。您可以在新的或現有的引導堆疊上啟用終止保護。如需啟用終止保護的指示，請參閱啟用引導堆疊的終止保護。

部署角色 (DeploymentActionRole) 授予讀取加密資料的許可，這是使用 CDK Pipelines 跨帳戶部署的必要許可。此角色中的政策不會授予所有資料的許可。它只授予從 Amazon S3 和 AWS KMS 讀取加密資料的許可，並且只有在這些資源透過其儲存貯體或金鑰政策允許時。

以下是從引導範本部署角色中這兩個陳述式的程式碼片段：

DeploymentActionRole:
    Type: AWS::IAM::Role
    Properties:
      ...
      Policies:
        - PolicyDocument:
            Statement:
              ...
              - Sid: PipelineCrossAccountArtifactsBucket
                Effect: Allow
                Action:
                  - s3:GetObject*
                  - s3:GetBucket*
                  - s3:List*
                  - s3:Abort*
                  - s3:DeleteObject*
                  - s3:PutObject*
                Resource: "*"
                Condition:
                  StringNotEquals:
                    s3:ResourceAccount:
                      Ref: AWS::AccountId
              - Sid: PipelineCrossAccountArtifactsKey
                Effect: Allow
                Action:
                  - kms:Decrypt
                  - kms:DescribeKey
                  - kms:Encrypt
                  - kms:ReEncrypt*
                  - kms:GenerateDataKey*
                Resource: "*"
                Condition:
                  StringEquals:
                    kms:ViaService:
                      Fn::Sub: s3.${AWS::Region}.amazonaws.com
              ...