使用新版CDK Bootstrap时IAM角色缺失及部署权限问题求助

看起来你遇到的是新版CDK Bootstrap流程中的角色创建或权限信任异常问题，结合你描述的「首次Bootstrap成功、二次部署失败、重新执行Bootstrap仍报错」的情况，我整理了以下分步解决方案：

1. 彻底清理现有CDK Toolkit资源 #

首次Bootstrap成功后出现异常，大概率是CloudFormation栈或关联IAM角色出现了损坏/残留，先彻底清理：

• 删除CDKToolkit CloudFormation栈：

  aws cloudformation delete-stack --stack-name CDKToolkit --region <myRegion>
  

• 手动检查并删除残留的CDK相关IAM角色（如果栈删除后仍有剩余）：
  进入IAM控制台，搜索名称包含cdk-*-cfn-exec-role、cdk-*-deploy-role的角色，确认是本次Bootstrap创建的后删除。

2. 清理CDK本地缓存 #

CDK会缓存环境状态，缓存异常可能导致资源识别错误：

# 删除项目根目录的CDK上下文缓存
rm -rf .cdk.context.json
# 删除npm缓存中的CDK数据
rm -rf node_modules/.cache/cdk

3. 升级CDK版本（关键操作！） #

你使用的CDK 1.59.0是2020年的旧版本，新版Bootstrap在早期1.x版本中存在一些已知bug，建议升级到最新的1.x稳定版：

# 全局升级CDK
npm install -g aws-cdk@1.x
# 或在项目本地升级依赖
npm install aws-cdk@1.x --save-dev

4. 重新执行Bootstrap命令 #

确保使用完整且正确的参数，指定信任当前账号（让账号内的管理员用户能Assume部署角色）：

env CDK_NEW_BOOTSTRAP=1 npx cdk bootstrap \
  --trust <myAccountId> \
  --cloudformation-execution-policies arn:aws:iam::aws:policy/AdministratorAccess \
  aws://<myAccountId>/<myRegion>

5. 验证角色信任关系（如果仍有问题） #

如果部署时还是提示无法Assume角色，检查DeployRole的信任策略：

1. 进入IAM控制台，找到cdk-*-deploy-role-<myAccountId>-<myRegion>角色
2. 查看信任关系，确保包含允许当前账号根用户或testapp_cdk用户Assume的策略，示例：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::<myAccountId>:root"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

   如果策略缺失或错误，手动更新后再尝试部署。

6. 检查用户MFA配置（可选） #

如果你的testapp_cdk用户启用了MFA，需要在AWS配置中指定MFA设备，否则无法Assume角色：

• 在~/.aws/config中添加：

  [profile your-profile-name]
  mfa_serial = arn:aws:iam::<myAccountId>:mfa/your-mfa-device-name
  

• 部署时指定profile：

  npx cdk deploy --profile your-profile-name
  

按照以上步骤操作后，应该能解决角色找不到或无法Assume的问题。

内容的提问来源于stack exchange，提问作者MoneyBall