自定义KMS密钥的CDK Secret跨栈引用失败，出现循环依赖

当你用自定义KMS密钥加密Secret时，调用GrantRead方法会同时触发两个权限配置：

• 给角色授予读取Secret的权限
• 给角色授予该自定义KMS密钥的解密权限

这就形成了双向依赖：

• SecretStack需要RoleStack中角色的ARN，来为KMS密钥添加权限策略
• RoleStack需要SecretStack中的Secret，来为角色添加读取权限
  最终触发循环依赖报错。

而使用AWS默认管理的KMS密钥时，GrantRead不会自动添加KMS解密权限（默认密钥的权限规则无需额外配置），因此不会产生额外依赖，也就不会出现循环问题。

把KMS密钥单独放在一个独立栈中，让SecretStack和RoleStack都依赖这个密钥栈，就能打破循环。具体实现如下：

1. 创建独立的KeyStack #

public class KeyStack : Stack
{
    public KeyStack(Construct scope, string id, IStackProps props = null) : base(scope, id, props)
    {
        MainKey = new Key(this, "MainKey");
    }

    public Key MainKey { get; }
}

2. 修改SecretStack，引用KeyStack的密钥 #

public class SecretStack : Stack
{
    public SecretStack(Construct scope, KeyStack keyStack, string id, IStackProps props = null) : base(scope, id, props)
    {
        TheSecret = new Secret(this, "TheSecret", new SecretProps
        {
            EncryptionKey = keyStack.MainKey
        });
    }

    public Secret TheSecret { get; }
}

3. 修改RoleStack，依赖SecretStack #

public class RoleStack : Stack
{
    public RoleStack(Construct scope, SecretStack secretStack, string id, IStackProps props = null) : base(scope, id, props)
    {
        var theRole = new Role(this, "TheRole", new RoleProps
        {
            AssumedBy = new ServicePrincipal("lambda.amazonaws.com")
        });

        secretStack.TheSecret.GrantRead(theRole);
    }
}

4. 按顺序初始化栈 #

在主程序中遵循以下创建顺序：

var app = new App();
var keyStack = new KeyStack(app, "KeyStack");
var secretStack = new SecretStack(app, keyStack, "SecretStack");
var roleStack = new RoleStack(app, secretStack, "RoleStack");

现在的依赖链是单向的：
KeyStack → SecretStack → RoleStack
虽然RoleStack会间接依赖KeyStack（因为GrantRead需要KMS密钥权限），但所有依赖都是单向流动，没有形成闭环，因此不会触发循环依赖报错。

内容的提问来源于stack exchange，提问作者Erik Karlsson