同一AWS账户部署Dev/UAT伪环境的CDK原生隔离方案咨询

下面是几个CDK/AWS原生的替代手动加前缀的方案，比手动传参数更规范、更贴合CDK的设计理念：

1. 使用CDK Stage构造（推荐） #

Stage是CDK专门为多环境部署设计的原生构造，它可以将一组相关的Stack封装成一个部署单元，不同环境（Dev/UAT）分别实例化独立的Stage实例，资源会自动带上Stage的标识前缀，实现隔离。

示例代码：

// 定义你的应用Stage
class MyAppStage extends cdk.Stage {
  constructor(scope: cdk.App, id: string, props?: cdk.StageProps) {
    super(scope, id, props);
    
    // 在Stage里创建你的Stack，资源名称可以基于Stage的id来设置
    new MyStack(this, "Backend", {
      envPrefix: id // 直接用Stage的ID（比如Dev/UAT）作为前缀
    });
  }
}

// 主函数里实例化不同环境的Stage
const app = new cdk.App();
new MyAppStage(app, "Dev"); // 生成的Stack会是Dev-Backend
new MyAppStage(app, "UAT"); // 生成的Stack会是UAT-Backend

这种方式结构清晰，符合CDK的部署模型，后续扩展更多环境（比如Staging）也很方便，而且Stack的物理名称会自动包含Stage的ID，不需要手动管理前缀。

2. 利用CDK Context参数 #

CDK的Context机制允许你通过命令行或者配置文件传递环境标识，在Stack中读取该值来设置资源前缀，不需要手动在构造函数里传参。

• 命令行传递参数：

cdk deploy -c env=dev
# UAT环境则执行
cdk deploy -c env=uat

• Stack中读取Context并应用：

class MyStack extends cdk.Stack {
  constructor(scope: cdk.Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);
    
    const env = this.node.tryGetContext('env') || 'default';
    // 用环境标识作为资源前缀
    new s3.Bucket(this, "DataBucket", {
      bucketName: `${env}-my-app-data-bucket`
    });
  }
}

这种方式更灵活，不需要修改代码就能切换环境，适合CI/CD流水线中动态传递环境参数。

3. 结合AWS Tags + IAM权限隔离 #

除了资源名称隔离，还可以通过给所有资源打环境标签，配合IAM权限控制实现逻辑隔离，这是AWS原生的安全隔离方式：

• 在CDK中统一打标签（可在App或Stage级别）：

const app = new cdk.App();
// 给所有资源打环境标签
cdk.Tags.of(app).add("Environment", "Dev");
// 或者在Stage级别打标签
const devStage = new MyAppStage(app, "Dev");
cdk.Tags.of(devStage).add("Environment", "Dev");

• 配置IAM策略，限制用户只能访问对应标签的资源：

{
  "Effect": "Allow",
  "Action": "s3:*",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:ResourceTag/Environment": "${aws:username}-env"
    }
  }
}

这种方式和名称隔离结合使用，能实现更严格的环境隔离，避免误操作其他环境的资源。

总结 #

如果追求结构化的部署模型，优先用Stage构造；如果需要灵活的环境切换，用Context参数；如果需要安全层面的隔离，结合Tags + IAM。这些都是CDK/AWS原生的方案，比手动传前缀更规范、更易维护。

内容的提问来源于stack exchange，提问作者Ramón J Romero y Vigil