AWS CDK部署场景下基于最小权限原则生成部署角色的最佳实践问询

内置机制说明 #

CDK 原生提供了两个核心能力，完全可以满足基于栈内容自动生成最小权限的需求：

• cdk permissions命令：CDK v2.70.0及以上版本自带的官方工具，直接执行cdk permissions <你的业务栈名称>，就会自动扫描栈内所有L1/L2/L3构造用到的AWS资源，输出部署该栈需要的完整IAM权限列表，不需要手动梳理每个服务对应的权限动作，你提到的CloudFrontDistribution构造用到的所有操作都会自动列在结果里。
• IAM权限自动推导：所有官方提供的L2/L3构造都内置了对应操作的IAM动作映射，如果你需要资源级权限限制，只需要在权限声明里指定对应资源的ARN，CDK会自动匹配动作和资源的适配关系，避免出现动作和资源不匹配的无效权限。

独立部署角色（非业务栈依赖）的实现方案 #

部署角色作为前置依赖，完全可以和业务栈解耦部署，以下是实测可行的落地方案：

• 单独搭建权限管理栈：建立和业务栈完全独立的CDK权限栈，仅用于定义各环境的部署角色，提前部署到对应AWS账号，权限栈更新频率远低于业务栈，完全满足前置依赖的要求。示例代码如下：

import { Role, PolicyStatement, Effect } from 'aws-cdk-lib/aws-iam';
import { Stack, StackProps } from 'aws-cdk-lib';
import { Construct } from 'constructs';

export class DeploymentRoleStack extends Stack {
  constructor(scope: Construct, id: string, props?: StackProps) {
    super(scope, id, props);

    // 生产环境部署角色，可根据不同环境创建多个角色
    const prodDeployRole = new Role(this, 'ProdDeployRole', {
      roleName: 'cdk-prod-deploy-role',
      assumedBy: { AWS: '你的CI/CD服务账号/运维人员账号ARN' }
    });

    // 导入cdk permissions生成的业务栈权限列表，绑定到角色
    prodDeployRole.addToPolicy(new PolicyStatement({
      effect: Effect.ALLOW,
      // 以下权限为cdk permissions扫描CloudFrontDistribution构造后自动生成的动作
      actions: [
        'cloudfront:CreateDistribution',
        'cloudfront:UpdateDistribution',
        'cloudfront:DeleteDistribution',
        'cloudfront:GetDistribution',
        'cloudfront:ListDistributions'
      ],
      // 限定仅操作指定CloudFront分发，替换为你的实际分发ARN即可
      resources: ['arn:aws:cloudfront::123456789012:distribution/EDFDVBD6EXAMPLE']
    }));
  }
}

• 自定义CDK Bootstrap模板：如果你不想单独维护权限栈，可以修改官方Bootstrap模板，把默认的AdministratorAccess权限替换为cdk permissions生成的最小权限，执行cdk bootstrap时指定自定义模板，生成的默认部署角色就符合最小权限要求，不需要额外修改业务栈配置。
• CI/CD流程自动校验：每次业务栈代码提交时，在CI流水线中先执行cdk permissions生成当前代码需要的权限，和部署角色的现有权限做对比，权限不足时直接阻断部署，提醒权限管理员更新权限栈。

多环境权限管控最佳实践 #

• 不同环境的部署角色完全独立，分别部署在对应环境的AWS账号下，禁止跨环境共用部署角色。
• 个人开发环境的部署角色可适当放宽权限提升开发效率，集中式开发、生产环境的角色严格使用最小权限，禁止使用服务级、账号级通配符权限。
• 生产环境部署角色额外添加IAM权限边界，限制角色可授予的最高权限范围，避免误操作赋予过高权限。
• 对于存量已部署的资源，可以在权限声明中添加标签条件限制，比如仅允许操作标签为Stack=prod-frontend的CloudFront分发，实现更灵活的资源级权限管控。

内容的提问来源于stack exchange，提问作者Chris