如何使用CDK assertions测试用户是否绑定指定managed policy

实现方式 #

CDK生成CloudFormation模板时，用户与托管策略的绑定关系会体现在AWS::IAM::User资源的ManagedPolicyArns属性中，结合CDK Assertions的Capture工具做关联校验是最稳妥的标准实践，不会因为部署环境、资源逻辑ID调整产生误报。

推荐写法（无硬编码、兼容性最好） #

核心逻辑是先捕获符合权限规则的托管策略的内部引用，再校验IAM用户的挂载列表中包含这个引用，示例代码：

import { Capture, Match, Template } from 'aws-cdk-lib/assertions';

// 1. 捕获符合预期配置的托管策略的资源引用
const targetPolicyRef = new Capture();
template.hasResourceProperties('AWS::IAM::ManagedPolicy', {
  PolicyDocument: Match.objectLike({
    Statement: [
      {
        Action: ['s3:PutObject', 's3:GetObject'],
        Effect: 'Allow',
        Resource: '*'
      }
    ]
  }),
  Ref: targetPolicyRef
});

// 2. 校验目标用户的托管策略列表包含捕获到的策略引用
template.hasResourceProperties('AWS::IAM::User', {
  ManagedPolicyArns: Match.arrayWith([
    { 'Fn::Ref': targetPolicyRef.asString() }
  ])
});

可选写法（固定逻辑ID场景） #

如果你显式给托管策略设置了固定的CloudFormation逻辑ID，可以直接匹配引用，不需要捕获步骤，灵活性稍差：

// 提前在业务代码中给策略设置固定逻辑ID
// (policy.node.defaultChild as CfnManagedPolicy).overrideLogicalId('s3AccessPolicy')

// 测试代码中直接匹配
template.hasResourceProperties('AWS::IAM::User', {
  ManagedPolicyArns: Match.arrayWith([
    { 'Fn::Ref': 's3AccessPolicy' }
  ])
});

最佳实践注意事项 #

• 不要硬编码托管策略的完整ARN字符串做匹配：CDK模板中使用内部Ref引用关联资源，硬编码ARN会在跨账号、跨AWS分区、跨部署环境时直接失效。
• 优先使用Match.arrayWith做数组包含匹配，不要全量匹配ManagedPolicyArns数组：后续给用户追加其他托管策略时不会触发测试误失败，符合最小校验原则。
• 如果需要严格校验策略只绑定给了预期用户，可以补充计数校验：

  template.resourcePropertiesCountIs('AWS::IAM::User', {
    ManagedPolicyArns: Match.arrayWith([{ 'Fn::Ref': targetPolicyRef.asString() }])
  }, 1);
  

  上述代码会确保全模板中只有1个IAM用户绑定了目标策略，避免配置错绑到其他用户的问题。

内容的提问来源于stack exchange，提问作者qUEnbcAr