基于AWS CDK v2(Python)跨账号多角色继承部署问题

背景信息 #

我正在用Python和AWS CDK v2搭建跨账号基础设施，遇到多角色继承部署的问题：

• 服务账号是CDK部署账号，已完成CDK bootstrap配置，无直接访问权限，需通过指定--profile继承角色部署，命令为：

  cdk deploy --profile service-account-profile
  

• 该profile配置了区域及角色ARN：role-arn arn:aws:iam::{serviceaccount}:role/CDKenabledRole，此前已多次通过该方式在服务账号部署CDK资源。

当前需求 #

需要在客户账号（clientaccount）的SNS Topic上创建订阅，关联服务账号的SQS队列。客户账号提供了仅允许服务账号继承的角色：arn:aws:iam::{clientaccount}:role/SubscriberEnabledRole，该角色拥有sns:*及sts:assumeRole权限。

基础代码 #

topic_arn = f'arn:aws:sns:eu-west-1:{source_topic_account}:{source_topic_name}'
queue_arn = f'arn:aws:sqs:eu-west-1:{analytics_aws_account}:{target_queue_name}'

topic = self.collect_topic_from_arn(topic_arn, source_topic_name)
queue = self.collect_queue_from_arn(queue_arn, target_queue_name)

print(f'Creating new subscription on topic {topic_arn} for queue {queue_arn}')

subscription = sns_sub.SqsSubscription(
    queue=queue, 
)        

topic.add_subscription(subscription)


def collect_queue_from_arn(self, arn, queue_name):
    # 定位已存在的队列ARN
    queue = sqs.Queue.from_queue_arn(scope=self,
        id=queue_name,
        queue_arn=arn
    )
    return queue


def collect_topic_from_arn(self, arn, topic_name):
    # 定位已存在的主题ARN
    topic = sns.Topic.from_topic_arn(scope=self,
        id=topic_name,
        topic_arn=arn
    )
    return topic

尝试过的操作 #

执行命令：

cdk --role-arn arn:aws:iam::{clientaccount}:role/SubscriberEnabledRole deploy --profile service-account-profile

报错：cross-account pass role is not allowed；用boto3实现角色继承过于复杂。

问题需求 #

1. 在客户账号创建订阅的流程
2. 各bootstrap角色所需的权限配置

解决方案 #

1. 跨账号创建SNS订阅的正确流程 #

由于订阅需在SNS Topic所在的客户账号创建并关联服务账号的SQS队列，需按以下步骤操作：

• 步骤1：配置服务账号SQS队列的权限
  必须给客户账号的SNS Topic授予向服务账号SQS队列发送消息的权限，否则订阅创建后消息无法投递。可通过CDK在服务账号的队列上添加权限：

  queue.add_to_resource_policy(iam.PolicyStatement(
      actions=["sqs:SendMessage"],
      resources=[queue_arn],
      principals=[iam.ArnPrincipal(f'arn:aws:iam::{clientaccount}:root')]
  ))
  

• 步骤2：创建角色链Profile
  直接使用--profile+--role-arn的组合会触发跨账号角色传递限制，需在本地AWS配置文件中创建角色链Profile：

  [profile client-subscriber-profile]
  role_arn = arn:aws:iam::{clientaccount}:role/SubscriberEnabledRole
  source_profile = service-account-profile
  region = eu-west-1
  

  然后使用该Profile执行CDK部署：

  cdk deploy --profile client-subscriber-profile
  

• 步骤3：执行部署
  上述Profile会自动通过服务账号的CDKenabledRole扮演客户账号的SubscriberEnabledRole，生成临时凭证用于操作客户账号资源，CDK代码无需额外修改（通过from_topic_arn/from_queue_arn引用跨账号资源的逻辑保持不变）。

2. 各Bootstrap角色的权限配置 #

服务账号CDKenabledRole权限

• 新增sts:AssumeRole权限，允许扮演客户账号的SubscriberEnabledRole，权限策略如下：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "sts:AssumeRole",
              "Resource": "arn:aws:iam::{clientaccount}:role/SubscriberEnabledRole"
          }
      ]
  }
  

• 保留原有部署服务账号资源的权限（如SQS相关权限，用于配置队列资源策略）。

客户账号SubscriberEnabledRole配置

• 信任策略：必须明确允许服务账号的CDKenabledRole扮演它：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Principal": {
                  "AWS": "arn:aws:iam::{serviceaccount}:role/CDKenabledRole"
              },
              "Action": "sts:AssumeRole"
          }
      ]
  }
  

• 权限策略：除已有的sns:*权限外，确保包含以下核心权限（若已有sns:*则无需额外添加）：
  • sns:GetTopicAttributes：读取目标SNS Topic属性
  • sns:Subscribe：创建SNS订阅

客户账号CDK Bootstrap角色（可选）

若客户账号已完成CDK bootstrap，无需额外修改bootstrap角色（cdk-hnb659fds-deploy-*），只要SubscriberEnabledRole拥有部署所需的SNS权限即可，CDK会通过临时凭证自动调用相关资源。

内容的提问来源于stack exchange，提问作者user15749079