AWS CDK(TypeScript)：IKey类型无policy属性但实际存在的访问问题

核心原因 #

IKey是CDK定义的抽象接口，本身并没有声明policy属性——调试器能看到该属性是因为运行时你的secretsKmsKey实际是Key类的实例（你自行创建的KMS密钥），但TypeScript静态编译时只依据IKey的接口定义做检查，因此会抛出报错。

解决步骤 #

1. 类型断言转换为具体的Key类型 #

将你的IKey实例强制转换为Key类（前提是该密钥是你通过new Key(...)创建的，而非从外部导入的）：

import { Key } from 'aws-cdk-lib/aws-kms';

// 假设secretsKmsKey是你的IKey实例
const kmsKey = secretsKmsKey as Key;

2. 过滤清理有问题的PolicyStatement #

通过policy.document.statements访问策略语句，过滤掉principal为空对象的条目：

if (kmsKey.policy) {
  // 过滤掉principal为空对象的无效策略语句
  kmsKey.policy.document.statements = kmsKey.policy.document.statements.filter(statement => {
    const principal = statement.principal;
    // 排除空对象类型的principal
    return !(typeof principal === 'object' && principal !== null && Object.keys(principal).length === 0);
  });
}

注意事项 #

• 如果secretsKmsKey是通过Key.fromKeyArn/Key.fromKeyId导入的外部密钥，policy属性会是undefined，这种情况无法通过CDK修改其策略，只能通过AWS控制台或其他AWS工具调整。
• 建议在密钥创建完成后立即执行策略清理操作，比如在构造函数的末尾，或者利用CDK的postValidate钩子处理。

内容的提问来源于stack exchange，提问作者bensonnd