AWS CDK中boto3调用的角色假定机制及profile参数获取问询

1. CDK角色假定的实现机制及多角色假定可用API #

实现机制 #

CDK在部署流程中自动假定cdk-hnb659fds-deploy-role-xxx这类角色，本质是通过**AWS STS（安全令牌服务）**完成的：

• 这些角色是执行cdk bootstrap时在目标账户/区域自动创建的，具备部署CloudFormation堆栈所需的核心权限（如创建/更新堆栈、管理关联云资源）。
• CDK内部通过AWS SDK（如Python的boto3）调用STS的assume_role接口，获取临时凭据，并用这些凭据完成部署阶段的各类操作。
• 日志中多次出现角色假定记录，通常是因为CDK需要跨账户/区域操作，或是在堆栈合成、部署的不同阶段分别进行权限验证和资源操作。

按需假定多角色的可用API #

在CDK代码中手动处理多角色假定，可使用以下方式：

• 直接调用boto3 STS客户端：手动调用STS接口获取临时凭据，再用凭据初始化特定服务的客户端

  import boto3
  sts_client = boto3.client('sts')
  assumed_role = sts_client.assume_role(
      RoleArn='arn:aws:iam::123456789012:role/MyCustomRole',
      RoleSessionName='CDKCustomSession'
  )
  # 用临时凭据创建EC2客户端
  ec2_client = boto3.client(
      'ec2',
      aws_access_key_id=assumed_role['Credentials']['AccessKeyId'],
      aws_secret_access_key=assumed_role['Credentials']['SecretAccessKey'],
      aws_session_token=assumed_role['Credentials']['SessionToken']
  )
  

• CDK Credentials类：使用aws_cdk.aws_iam.Credentials的静态方法，为CDK资源指定自定义角色凭据，让CDK操作该资源时自动假定对应角色

  from aws_cdk import aws_iam as iam, aws_s3 as s3, Stack, App
  from aws_cdk.core import Credentials
  
  class MyStack(Stack):
      def __init__(self, scope, id, **kwargs):
          super().__init__(scope, id, **kwargs)
          # 指定用自定义角色创建S3桶
          s3.Bucket(self, 'MyBucket',
              bucket_name='my-custom-bucket',
              credentials=Credentials.from_role_arn('arn:aws:iam::123456789012:role/MyCustomRole')
          )
  

• CDK Session配置：通过cdk.Session类配置默认角色假定规则，或初始化App时指定environment参数关联特定角色。

2. 在app.py中获取--profile参数并传递给其他模块 #

要获取命令行传入的--profile参数并传递给其他模块，可通过以下两种方式实现：

方法1：解析命令行参数 #

用argparse解析命令行参数，分离CDK原生参数和自定义需要的--profile：

import argparse
from aws_cdk import App
from my_module import MyCustomService

# 解析命令行参数
parser = argparse.ArgumentParser()
parser.add_argument("--profile", dest="aws_profile", default=None)
# 分离CDK的其他参数，不影响原生功能
args, remaining_args = parser.parse_known_args()

# 初始化CDK App
app = App()

# 将profile传递给自定义模块
my_service = MyCustomService(profile=args.aws_profile)
my_service.do_boto3_operations()

# 传递剩余参数给CDK，保留原生参数处理逻辑
app.synth(args=remaining_args)

方法2：读取环境变量 #

CDK执行时会将--profile参数对应的配置加载到环境变量AWS_PROFILE中，可直接读取该变量：

import os
from aws_cdk import App
from my_module import MyCustomService

aws_profile = os.environ.get('AWS_PROFILE')

app = App()
my_service = MyCustomService(profile=aws_profile)
my_service.do_boto3_operations()

app.synth()

注意事项 #

• 命令行传入的--profile参数优先级高于环境变量AWS_PROFILE
• 自定义模块内可通过boto3.Session(profile_name=profile)初始化带指定profile的会话，完成boto3调用

内容的提问来源于stack exchange，提问作者DataGuru