如何在AWS CDK中为Lambda函数使用现有签名配置文件？

要在AWS CDK中使用已有的Signing Profile为Lambda代码签名，无需创建新资源，直接通过引用现有资源的方式关联即可，具体修改步骤如下：

1. 引用已有的Signing Profile #

通过ARN或名称直接引用你已创建好的Signing Profile：

// 方式1：通过ARN引用（最可靠，避免名称冲突）
SigningProfile existingSigningProfile = SigningProfile.fromSigningProfileArn(
    this, 
    "ExistingSigningProfile", 
    "arn:aws:signer:你的区域:你的账号ID:/signing-profiles/你的现有Profile名称"
);

// 方式2：通过名称引用（需确保账号和区域一致）
// SigningProfile existingSigningProfile = SigningProfile.fromSigningProfileName(
//     this, 
//     "ExistingSigningProfile", 
//     "你的现有Profile名称"
// );

2. 配置Code Signing Config #

分两种情况处理：

• 如果你已经有现成的Code Signing Config，直接引用：

  CodeSigningConfig existingCodeSigningConfig = CodeSigningConfig.fromCodeSigningConfigArn(
      this, 
      "ExistingCodeSigningConfig", 
      "arn:aws:lambda:你的区域:你的账号ID:code-signing-config:你的现有CSC ID"
  );
  

• 如果没有现成的Code Signing Config，用引用的Signing Profile创建新的：

  CodeSigningConfig codeSigningConfig = CodeSigningConfig.Builder.create(this, "codeSigningConfig-resId")
          .signingProfiles(List.of(existingSigningProfile))
          .build();
  

3. 关联到Lambda函数 #

将Lambda构建代码中的codeSigningConfig参数替换为上述引用或创建的配置：

return Function.Builder.create(this, functionName)
        .runtime(Runtime.JAVA_17) // 替换为你的实际运行时
        .architecture(Architecture.X86_64) // 替换为你的实际架构
        .handler("com.example.Handler::handleRequest") // 替换为你的实际Handler
        .code(Code.fromAsset("path/to/your/lambda/code")) // 替换为你的代码来源
        .codeSigningConfig(codeSigningConfig) // 使用现有资源对应的配置
        .memorySize(memorySize)
        .role(functionRole)
        .timeout(Duration.seconds(timeoutInSeconds))
        .environment(functionEnvironmentVariables)
        .description(description)
        .build();

注意事项 #

• 确保CDK执行角色拥有访问现有Signing Profile和Code Signing Config的权限，比如signer:GetSigningProfile、lambda:GetCodeSigningConfig等
• 引用资源时，ARN或名称必须准确，且资源需与CDK部署的Lambda处于同一AWS账号和区域

内容的提问来源于stack exchange，提问作者yoni