使用aws_iam.ArnPrincipal授予仓库跨账号访问无效问题排查

• 仓库未纳入CDK构造树：如果创建repository对象时未将其作为栈（Stack）或栈内构造的子节点，CDK不会识别该资源的配置变更。要确保仓库是通过new aws_codecommit.Repository(this, 'RepoId', {...})这种方式创建（this指向当前栈实例），而非在栈外独立初始化。
• 权限语句已存在或被去重：CDK会自动合并重复的IAM权限语句。如果之前已经通过其他方式（比如手动添加策略、其他grant_pull调用）给目标角色授予了相同的仓库拉取权限，再次添加grant_pull不会生成新的模板内容。可以检查现有模板中的IAM策略，确认是否已包含该权限。
• Principal ARN格式或内容错误：目标角色的ARN需完全正确，包括12位账号ID、准确的角色名。如果ARN格式无效（比如账号位数不对、角色名拼写错误），CDK可能无法生成有效权限语句。需核对目标账号的IAM角色ARN是否准确。
• 仓库类型不匹配：确保repository对象是AWS CodeCommit仓库（aws_codecommit.Repository），而非其他服务的仓库（比如ECR镜像仓库）。不同服务的grant_pull方法逻辑不同，若对象类型错误，权限配置不会生效。
• 代码未生效或执行路径错误：确认修改代码后已保存，且在正确的CDK项目目录下执行cdk synth。如果运行synth的路径不是项目根目录，可能使用的是旧的代码快照。
• CDK环境配置不一致：如果仓库部署在与当前CDK环境（cdk deploy时指定的账号/区域）不同的环境中，权限配置可能未被正确关联。要确保CDK上下文或环境变量指向仓库所在的账号和区域。

内容的提问来源于stack exchange，提问作者gratinierer