如何在AWS CDK中导入其他AWS账户的现有CodeDeploy部署组？

前置准备（目标账户<即存储CodeDeploy部署组的账户>配置） #

• 登录目标账户，找到现有CodeDeploy部署组对应的应用和部署组名称，记录两者的名称、目标账户ID、所在区域
• 在目标账户的IAM中，为Pipeline所属的源账户的角色授权，允许其执行codedeploy:GetDeploymentGroup、codedeploy:CreateDeployment等部署所需的操作，作用范围为目标部署组的ARN
• 配置目标账户的CodeDeploy服务角色权限，允许其拉取源账户S3存储桶（Pipeline存储构建产物的桶）中的部署资源

CDK栈中导入部署组操作 #

首先你需要在CDK代码中使用fromDeploymentGroupAttributes静态方法导入跨账户的现有部署组，示例代码如下（以TypeScript为例，其他语言语法逻辑一致）：

import * as codedeploy from 'aws-cdk-lib/aws-codedeploy';
import * as cdk from 'aws-cdk-lib';

// 替换为你自己的参数值
const TARGET_ACCOUNT_ID = '123456789012';
const TARGET_REGION = 'us-east-1';
const EXISTING_CODEDEPLOY_APP_NAME = 'my-existing-app';
const EXISTING_DEPLOYMENT_GROUP_NAME = 'my-existing-deploy-group';

// 导入跨账户部署组
const crossAccountDeployGroup = codedeploy.DeploymentGroup.fromDeploymentGroupAttributes(this, 'CrossAccountDeployGroup', {
  application: codedeploy.ServerApplication.fromServerApplicationName(this, 'ImportedCodeDeployApp', EXISTING_CODEDEPLOY_APP_NAME),
  deploymentGroupName: EXISTING_DEPLOYMENT_GROUP_NAME,
  // 显式指定跨账户的账户和区域
  account: TARGET_ACCOUNT_ID,
  region: TARGET_REGION
});

注：以上示例为EC2/本地服务器部署场景，若你的部署场景为ECS或Lambda，请替换对应的Application导入方法：

• ECS部署：使用codedeploy.EcsApplication.fromEcsApplicationName导入应用
• Lambda部署：使用codedeploy.LambdaApplication.fromLambdaApplicationName导入应用

将导入的部署组加入CodePipeline部署阶段 #

你可以直接将导入的部署组作为CodeDeploy部署动作的目标，示例如下：

import * as codepipeline_actions from 'aws-cdk-lib/aws-codepipeline-actions';
import * as codepipeline from 'aws-cdk-lib/aws-codepipeline';

// 假设你已经创建了pipeline实例和构建产物对象buildOutput
const deployAction = new codepipeline_actions.CodeDeployServerDeployAction({
  actionName: 'CrossAccountCodeDeploy',
  input: buildOutput,
  deploymentGroup: crossAccountDeployGroup,
});

// 将部署动作加入pipeline的部署阶段
pipeline.addStage({
  stageName: 'DeployToTargetAccount',
  actions: [deployAction]
});

注意事项 #

• 你的CDK栈必须显式指定env参数，包含源账户的ID和区域，不支持环境无关的CDK栈完成跨账户操作
• 如果部署目标是ECS/Lambda等资源，需要额外补充对应的跨账户访问权限，确保CodeDeploy可以正常操作目标账户下的业务资源
• 所有跨账户的权限配置需要显式指定资源ARN和授权账户，避免使用过宽的权限范围

内容的提问来源于stack exchange，提问作者Utibeabasi Umanah