AWS CDK引导时能否为角色配置含额外操作的自定义信任策略？

首先直接给出结论：CDK默认的cdk bootstrap命令确实没有直接参数让你添加额外的信任策略Action（比如sts:TagSession），但有两种可靠的方式实现你的需求：

方法1：使用自定义Bootstrap模板 #

CDK允许你导出默认的bootstrap模板，修改后再用这个自定义模板完成引导，步骤如下：

1. 导出默认的bootstrap模板到本地文件：

   cdk bootstrap --show-template > custom-bootstrap-template.yml
   

2. 打开custom-bootstrap-template.yml，找到你需要修改的角色（比如cdk-event-proc-deploy-role对应的资源定义），在其AssumeRolePolicyDocument的Action数组中添加sts:TagSession：

   AssumeRolePolicyDocument:
     Version: '2012-10-17'
     Statement:
       - Effect: Allow
         Principal:
           AWS: arn:aws:iam::158******206:root # 这里是你--trust指定的账号
         Action:
           - sts:AssumeRole
           - sts:TagSession # 新增这个Action
   

3. 使用自定义模板重新执行bootstrap：

   npx cdk bootstrap \
     --trust 158******206 \
     --toolkit-stack-name **** \
     --qualifier ****\
     --cloudformation-execution-policies arn:aws:iam::aws:policy/AdministratorAccess \
     --template custom-bootstrap-template.yml
   

方法2：在CDK应用中使用Aspects自动修改角色 #

如果不想修改bootstrap模板，可以在你的CDK代码中通过Aspects（一种遍历并修改CDK构造树的机制），自动为所有部署角色添加sts:TagSession权限：

import { IAspect, IConstruct } from 'aws-cdk-lib';
import { Role } from 'aws-cdk-lib/aws-iam';

class AddTagSessionToTrustPolicy implements IAspect {
  visit(node: IConstruct): void {
    if (node instanceof Role && node.roleName.startsWith('cdk-')) { // 匹配CDK生成的部署角色
      const policy = node.assumeRolePolicy;
      policy.addStatements({
        Effect: 'Allow',
        Principal: policy.documentStatements[0].Principal, // 复用原有的Principal
        Action: 'sts:TagSession'
      });
    }
  }
}

// 在你的CDK栈中注册这个Aspect
const app = new App();
const stack = new MyStack(app, 'MyStack');
Aspects.of(stack).add(new AddTagSessionToTrustPolicy());

这样每次部署时，CDK会自动修改相关角色的信任策略，添加所需的sts:TagSession权限。

补充说明 #

你遇到的错误是因为当使用STS角色进行部署时，CDK会尝试为STS会话添加标签，这需要目标角色的信任策略允许sts:TagSession操作——而默认的CDK bootstrap生成的角色信任策略只包含sts:AssumeRole，所以会触发权限错误。

--trust参数仅用于指定允许AssumeRole的Principal，无法修改信任策略中的Action列表，因此必须通过上述两种方式来扩展权限。

内容的提问来源于stack exchange，提问作者khomkovova