使用Pytest验证CDK Synth生成的模板时遇匹配错误

为什么会出现Fn::Join对象？ #

CDK 在处理 IAM 主体（比如账号根用户、角色ARN等）时，为了保证模板的跨环境兼容性和动态值正确性，会自动生成Fn::Join这类 CloudFormation 内置函数。比如你用iam.AccountPrincipal(self.account)定义主体时，self.account是 CDK 的 Token 类型（部署时才会解析为实际账号ID），CDK 就会用Fn::Join拼接出完整的 ARN，而不是硬编码字符串。

解决方法 #

方法1：使用CDK官方断言库（推荐） #

CDK 提供了aws-cdk-lib.assertions模块，能自动解析Fn::Join、Ref等内置函数，直接断言最终的预期值，不用手动处理模板结构。

示例测试代码：

import pytest
from aws_cdk import App
from aws_cdk.assertions import Template
from your_stack_module import YourStack

def test_kms_key_policy_principal():
    app = App()
    stack = YourStack(app, "TestStack")
    template = Template.fromStack(stack)

    # 断言KeyPolicy第一个Statement的Principal.AWS是预期的账号根ARN
    expected_principal = f"arn:aws:iam::{stack.account}:root"
    template.has_resource_properties("AWS::KMS::Key", {
        "KeyPolicy": {
            "Statement": [
                {
                    "Principal": {"AWS": expected_principal}
                }
            ]
        }
    })

方法2：手动解析模板中的Fn::Join #

如果必须直接处理 synth 后的原始模板，可以编写逻辑解析Fn::Join结构：

def test_kms_key_policy_raw_template():
    app = App()
    stack = YourStack(app, "TestStack")
    raw_template = stack.to_json()
    kms_key = raw_template["Resources"]["MyKeyABCDEFG"]["Properties"]
    first_statement = kms_key["KeyPolicy"]["Statement"][0]
    aws_principal = first_statement["Principal"]["AWS"]

    # 解析Fn::Join结构
    if isinstance(aws_principal, dict) and "Fn::Join" in aws_principal:
        separator, parts = aws_principal["Fn::Join"]
        # 替换Ref占位符（如果是固定测试环境，可以硬编码账号ID）
        resolved_parts = [part["Ref"] == "AWS::AccountId" ? "123456789012" : part for part in parts]
        resolved_principal = separator.join(resolved_parts)
        assert resolved_principal == "arn:aws:iam::123456789012:root"
    else:
        assert aws_principal == "arn:aws:iam::123456789012:root"

额外排查点 #

检查你的 CDK 代码中定义 KeyPolicy 的方式：

• 是否使用了iam.AccountPrincipal、iam.Role.fromRoleArn等 CDK 内置主体类？这些类会自动生成动态的Fn::Join结构
• 如果是手动硬编码 Principal 的 AWS 字段，是否不小心用了 CDK 的 Token 变量（比如self.account）而不是字符串常量？

内容的提问来源于stack exchange，提问作者user29090729