如何为CDK栈中所有显式与隐式创建的角色添加权限边界？

方法1：用Aspect全局遍历设置 #

这是最省心的方案，能自动捕获所有iam.Role类型资源——不管是你显式创建的，还是Lambda、Step Functions等Level 2构造隐式生成的角色。

实现代码示例（TypeScript）：

import { Aspects, IAspect } from 'aws-cdk-lib';
import { IRole, PermissionBoundary } from 'aws-cdk-lib/aws-iam';
import { Construct } from 'constructs';

// 自定义Aspect类，负责给所有角色加权限边界
class AttachPermissionBoundary implements IAspect {
  private readonly boundary: PermissionBoundary;

  constructor(boundary: PermissionBoundary) {
    this.boundary = boundary;
  }

  visit(node: Construct): void {
    // 识别所有Role资源，设置权限边界
    if (IRole.isRole(node)) {
      (node as IRole).permissionBoundary = this.boundary;
    }
  }
}

// 在你的栈里应用这个Aspect
const existingBoundary = PermissionBoundary.fromName(this, 'MyExistingBoundary', '你的权限边界名称');
Aspects.of(this).add(new AttachPermissionBoundary(existingBoundary));

• 核心逻辑：遍历整个CDK构造树，只要是角色就自动绑定权限边界，无需逐个处理。
• 注意事项：要确认当前部署账号有权限访问这个权限边界，且边界名称/ARN正确。

方法2：通过CDK全局配置自动绑定 #

如果想让整个CDK应用下的所有栈都自动给角色加边界，可以直接在cdk.json里加全局上下文参数：

{
  "context": {
    "@aws-cdk/aws-iam:defaultPermissionBoundary": "arn:aws:iam::你的账号ID:policy/你的权限边界名称"
  }
}

• 效果：所有CDK创建的角色（包括隐式生成的）都会自动带上这个权限边界，不用改任何代码。
• 局限性：这个配置是全局生效的，没法单独给某个栈做特殊处理；如果需要精细化控制，还是用Aspect更灵活。

方法3：手动配置单个Level 2构造的角色 #

如果只需要给特定几个隐式生成的角色加边界，可以直接在构造初始化时自定义角色：

import { Function, Runtime, Code } from 'aws-cdk-lib/aws-lambda';
import { Role, ServicePrincipal, PermissionBoundary } from 'aws-cdk-lib/aws-iam';

// 先创建带权限边界的角色
const lambdaRole = new Role(this, 'CustomLambdaRole', {
  assumedBy: new ServicePrincipal('lambda.amazonaws.com'),
  permissionBoundary: PermissionBoundary.fromName(this, 'LambdaBoundary', '你的权限边界名称')
});

// 把自定义角色传给Lambda构造
const myLambda = new Function(this, 'MyLambda', {
  runtime: Runtime.NODEJS_18_X,
  handler: 'index.handler',
  code: Code.fromAsset('lambda'),
  role: lambdaRole
});

• 缺点：需要逐个构造手动配置，没法覆盖所有自动生成的角色，适合小范围场景。

内容的提问来源于stack exchange，提问作者Comfortably Numb