如何在CDK中基于跨账号S3配置文件动态构建资源？

核心结论 #

可以通过AWS SDK在账号2的CDK代码中读取账号1 S3桶内的配置文件，进而为每个应用创建CloudWatch仪表盘，需重点处理跨账号权限与CDK执行阶段的适配问题，具体实现如下：

1. 配置跨账号S3访问权限 #

先在账号1的目标S3桶上添加桶策略，允许账号2的CDK执行角色读取配置文件：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::账号2ID:role/你的CDK执行角色名"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::账号1存储桶名/配置文件路径"
    }
  ]
}

2. 在CDK中用SDK读取配置并生成仪表盘 #

CDK分为合成阶段（Synth）和部署阶段（Deploy），因你需要基于配置文件生成固定仪表盘，在合成阶段直接调用SDK读取即可（不受自定义资源4KB响应限制影响）。

示例代码（TypeScript） #

import * as cdk from 'aws-cdk-lib';
import * as cloudwatch from 'aws-cdk-lib/aws-cloudwatch';
import { S3Client, GetObjectCommand } from '@aws-sdk/client-s3';
import { parse } from 'json5';

export class CrossAccountDashboardStack extends cdk.Stack {
  constructor(scope: cdk.App, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    // 初始化S3客户端，指定账号1存储桶所在区域
    const s3Client = new S3Client({ region: 'us-east-1' });

    // 同步读取S3配置文件
    const getObjectCmd = new GetObjectCommand({
      Bucket: '账号1的存储桶名',
      Key: '配置文件路径'
    });
    const response = await s3Client.send(getObjectCmd);
    const configContent = await response.Body.transformToString();
    
    // 解析配置文件（注意：原示例格式不合法，需调整为标准JSON数组格式，如[{"application":"app1",...}, {...}]）
    const apps = parse(configContent);

    // 遍历配置为每个应用创建仪表盘
    apps.forEach(app => {
      new cloudwatch.Dashboard(this, `Dashboard-${app.application}`, {
        dashboardName: `${app.application}-${app.type}-Dashboard`,
        widgets: [
          new cloudwatch.TextWidget({
            markdown: `# ${app.application} 监控仪表盘`,
            height: 2,
            width: 24
          })
          // 可按需添加指标图表等其他仪表盘组件
        ]
      });
    });
  }
}

3. 关键注意事项 #

• 配置文件格式修正：你提供的示例配置文件不是合法JSON，需调整为数组格式（用[]包裹多个对象，对象间用逗号分隔），否则无法正常解析。
• CDK角色权限：确保账号2的CDK执行角色拥有s3:GetObject权限，且账号1的S3桶策略已正确授权该角色。
• 区域适配：若账号1的S3桶与账号2的CDK部署区域不同，需在S3客户端初始化时指定对应区域。

内容的提问来源于stack exchange，提问作者mohanakrishnavh