如何为跨多AWS账号部署流水线正确配置CDK应用栈

场景说明 #

正在搭建仅针对AWS RDS的CI流水线，需要按顺序向Alpha/Gamma/Prod三个AWS账号部署RDS栈。

现有应用栈代码 #

export class ApplicationStack extends CDK.Stack {
    constructor(scope: Construct, id: string, props: ApplicationStackProps) {
        super(scope, id, props);
        const coreVpc: Ec2.IVpc = Ec2.Vpc.fromLookup(this, "CoreVpc", {
            vpcName: "CoreVpc",
        });
        const rdsStack = new RdsStack(scope, `eCommerceDatabaseRdsStack-${props.stageName}`, {
            vpc: coreVpc,
            description: `The stack defines eCommerceDatabase at ${props.stageName}.`,
        });
    }
}

现有流水线代码 #

/**
 * This is where we define the whole pipeline.
 */
export class PipelineStack extends Cdk.Stack {
  constructor(scope: Cdk.App, id: string, props: PipelineStackProps) {
    super(scope, id, props);

    // Initialize the pipeline
    const pipeline = new codepipeline.Pipeline(this, "Pipeline", {
      pipelineName: "eCommerceDatabasePipeline",
      restartExecutionOnUpdate: true,
    });

    // Add stages to this pipeline.
    pipelineStageInfoList.forEach((pipelineStage: PipelineStageInfo) => {
      const applicationStack = new ApplicationStack(
        this,
        `eCommerceDatabaseStack-${pipelineStage.stageName}`,
        {
          stageName: pipelineStage.stageName,
        }
      );
      const stage: Cdk.aws_codepipeline.IStage = pipeline.addStage({
        stageName: pipelineStage.stageName,
      });


      // This is where I'm having trouble. 
      //It complains that applicationStack.templateFile is just a string, 
      //not assignable to ArtifactPath type. 
      stage.addAction(
        new codepipeline_actions.CloudFormationCreateUpdateStackAction({
          actionName: `eCommerceDatabase-${pipelineStage.stageName}-Deploy`,
          templatePath: applicationStack.templateFile,
          stackName: `eCommerceDatabase-${pipelineStage.stageName}`,
          region: pipelineStage.awsRegion,
          adminPermissions: true,
        })
      );
    });
  }
}

遇到的问题 #

1. 类型报错：applicationStack.templateFile是字符串类型，无法赋值给ArtifactPath类型参数
2. 不确定当前实现方案是否可行

问题根因 #

• 类型不匹配的直接原因：原生CodePipeline的CloudFormation部署Action要求传入的templatePath是流水线内部存储的工件路径，是流水线运行时可访问的S3存储位置，而applicationStack.templateFile只是CDK在本地合成模板时的本地文件路径，两者语义完全不同，不能直接传值。
• 现有代码的隐藏问题：
  • ApplicationStack中初始化RdsStack时传入的scope是外层构造，不是当前栈实例this，会导致RdsStack成为独立的根栈，不会被包含在ApplicationStack的合成模板中，实际部署时RDS资源根本不会被创建。
  • 所有应用栈没有绑定对应环境的AWS账号、区域配置，也没有配置跨账号部署的信任关系，就算解决类型问题也无法完成跨账号部署。
• 方案选型问题：手动拼接原生L1级别的CodePipeline构造，需要自行处理CDK合成、工件上传、跨账号角色配置、栈依赖排序等大量重复逻辑，不适合CDK应用的跨环境部署场景。

修正步骤 #

1. 修复应用栈的嵌套栈作用域错误 #

将RdsStack初始化时的scope改为当前ApplicationStack实例，确保RDS资源被正确包含在应用栈模板中：

export class ApplicationStack extends CDK.Stack {
    constructor(scope: Construct, id: string, props: ApplicationStackProps) {
        super(scope, id, props);
        const coreVpc: Ec2.IVpc = Ec2.Vpc.fromLookup(this, "CoreVpc", {
            vpcName: "CoreVpc",
        });
        // 注意这里scope传this，将RdsStack作为当前应用栈的嵌套资源
        const rdsStack = new RdsStack(this, `eCommerceDatabaseRdsStack-${props.stageName}`, {
            vpc: coreVpc,
            description: `The stack defines eCommerceDatabase at ${props.stageName}.`,
        });
    }
}

2. 改用CDK Pipelines模块实现流水线 #

CDK官方提供的Pipelines高级构造封装了CDK应用发布的全流程逻辑，自动处理模板合成、工件管理、跨账号权限配置、CloudFormation部署动作，不需要手动处理ArtifactPath类型问题。修正后的流水线代码如下：

import { CodePipeline, CodePipelineSource, ShellStep } from 'aws-cdk-lib/pipelines';

export class PipelineStack extends Cdk.Stack {
  constructor(scope: Cdk.App, id: string, props: PipelineStackProps) {
    super(scope, id, props);

    // 初始化CDK Pipelines托管的流水线
    const pipeline = new CodePipeline(this, "Pipeline", {
      pipelineName: "eCommerceDatabasePipeline",
      // 配置CDK合成步骤，流水线会自动执行合成、上传模板的操作
      synth: new ShellStep("Synth", {
        // 替换为你实际的代码源配置，支持CodeCommit/GitHub/CodeStarSource等
        input: CodePipelineSource.codeCommit(props.pipelineRepo, "main"),
        commands: ["npm ci", "npm run build", "npx cdk synth"],
      }),
      crossAccountKeys: true, // 自动配置跨账号部署需要的KMS密钥权限
    });

    // 按顺序添加三个环境的部署阶段
    pipelineStageInfoList.forEach((pipelineStage: PipelineStageInfo) => {
      // 为每个环境创建独立的CDK Stage，绑定对应账号和区域
      const envStage = new Cdk.Stage(this, `${pipelineStage.stageName}-Stage`, {
        env: {
          account: pipelineStage.awsAccountId, // 替换为对应环境的AWS账号ID
          region: pipelineStage.awsRegion,
        }
      });
      // 在环境Stage中初始化应用栈
      new ApplicationStack(envStage, "eCommerceDatabaseStack", {
        stageName: pipelineStage.stageName,
      });

      // 将环境加入流水线，CDK会自动创建对应CloudFormation部署动作，无需手动配置模板路径
      pipeline.addStage(envStage);
    });
  }
}

部署前准备 #

跨账号部署前，需要在Alpha/Gamma/Prod三个目标账号中执行CDK引导命令，建立和流水线所在账号的信任关系：

npx cdk bootstrap aws://<目标账号ID>/<目标区域> --trust <流水线所在账号ID>

引导完成后直接部署PipelineStack，流水线会自动按顺序完成三个环境的RDS栈部署，不需要手动处理其他配置。

内容的提问来源于stack exchange，提问作者Yang Liu