跨账号场景下AWS CDK配置CodeBuild全克隆的授权问题解决

当在工具账号（tools account）通过AWS CDK v2构建跨账号CodePipeline，且开启code_build_clone_output=True时，核心问题是CodeBuild会直接拉取开发账号（dev account）的CodeCommit仓库，而非通过CodePipeline源阶段传递代码，因此需要完成以下配置：

1. 给开发账号的CodeCommit仓库添加资源策略 #

在开发账号的CDK栈中，为目标CodeCommit仓库添加资源策略，授权工具账号的CodeBuild角色执行拉取和仓库查询操作：

import * as codecommit from 'aws-cdk-lib/aws-codecommit';
import * as iam from 'aws-cdk-lib/aws-iam';

// 开发账号中的CodeCommit仓库
const devRepo = new codecommit.Repository(this, 'DevRepository', {
  repositoryName: 'your-repo-name',
});

// 允许工具账号的CodeBuild角色访问仓库
devRepo.addToResourcePolicy(new iam.PolicyStatement({
  actions: ['codecommit:GitPull', 'codecommit:GetRepository'],
  principals: [new iam.ArnPrincipal('arn:aws:iam::<工具账号ID>:role/<工具账号CodeBuild角色名>')],
  resources: [devRepo.repositoryArn],
}));

2. 工具账号中配置CodePipelineSource #

在工具账号的CDK代码中，定义CodeCommit源时必须开启crossAccountKeys，确保跨账号的源版本元数据能正常传递：

import * as codepipeline from 'aws-cdk-lib/aws-codepipeline';
import * as codecommit from 'aws-cdk-lib/aws-codecommit';

const devRepo = codecommit.Repository.fromRepositoryArn(
  this,
  'ImportedDevRepo',
  'arn:aws:codecommit:<AWS区域>:<开发账号ID>:your-repo-name'
);

const sourceStage = codepipeline.CodePipelineSource.codeCommit({
  repository: devRepo,
  branch: 'main',
  codeBuildCloneOutput: true,
  crossAccountKeys: true, // 必须开启，支持跨账号源信息传递
});

3. 给工具账号的CodeBuild角色添加权限 #

在工具账号的CodeBuildStep中，为关联角色添加访问开发账号CodeCommit仓库的权限（与资源策略配合，满足IAM权限模型的双向允许要求）：

import * as pipelines from 'aws-cdk-lib/pipelines';
import * as iam from 'aws-cdk-lib/aws-iam';

const buildStep = new pipelines.CodeBuildStep('BuildAndTest', {
  input: sourceStage,
  commands: ['git clone https://git-codecommit.<AWS区域>.amazonaws.com/v1/repos/your-repo-name', 'npm install', 'npm run test'],
  rolePolicyStatements: [
    new iam.PolicyStatement({
      actions: ['codecommit:GitPull', 'codecommit:GetRepository'],
      resources: ['arn:aws:codecommit:<AWS区域>:<开发账号ID>:your-repo-name'],
    }),
  ],
});

4. 验证开发账号的跨账号支持角色权限 #

开发账号中由CodePipeline自动创建的跨账号支持角色（命名格式通常为AWSCodePipelineCrossAccountAccess-<工具账号ID>-<区域>）需要具备以下权限，用于CodePipeline源阶段获取仓库元数据：

• codecommit:GetRepository
• codecommit:GetBranch
• codecommit:GetCommit

如果CDK未自动添加，可手动在开发账号的IAM控制台为该角色附加包含上述权限的策略。

常见错误排查 #

• 资源策略中的工具账号CodeBuild角色ARN填写错误
• 未开启crossAccountKeys导致跨账号元数据传递失败
• 工具账号CodeBuild角色缺少对应权限，或资源策略未覆盖所需操作
• 开发账号的跨账号支持角色缺少仓库元数据查询权限

内容的提问来源于stack exchange，提问作者nluckn