如何通过AWS CDK在同一堆栈中实现多账号创建及服务批量部署

可以实现从组织架构创建、账号生成到对应账号服务部署的全流程，但不能在单个CDK栈中完成，需要拆分为两个独立的CDK栈分阶段部署。

单栈无法实现的核心原因是CDK在合成（cdk synth）阶段就需要确定所有栈的目标环境（account/region）参数，而新账号的ID是在栈部署（cdk deploy）运行时才会生成的，合成阶段无法获取未创建的账号ID，会直接报错。

• 第一步：开发组织架构与账号创建栈
  你可以直接扩展现有AWS Bootstrap Kit的示例，或者直接使用aws-cdk-lib.aws_organizations模块的原生构造创建OU和账号，每个账号创建完成后，构造会暴露attrId属性返回生成的账号ID，你可以将这些ID存储到SSM参数存储或者CDK栈输出中。示例代码参考：

import * as org from 'aws-cdk-lib/aws-organizations';
import * as ssm from 'aws-cdk-lib/aws-ssm';
import { Construct } from 'constructs';
import { Stack, StackProps } from 'aws-cdk-lib';

export class OrgStack extends Stack {
  constructor(scope: Construct, id: string, props?: StackProps) {
    super(scope, id, props);

    // 创建SDLC OU
    const sdlcOu = new org.CfnOrganizationalUnit(this, 'SdlcOu', {
      name: 'SDLC',
      parentId: '你的根OU ID'
    });

    // 创建Dev账号
    const devAccount = new org.CfnAccount(this, 'DevAccount', {
      accountName: 'Dev',
      email: 'dev@你的企业域名.com',
      parentIds: [sdlcOu.ref]
    });

    // 将账号ID存入SSM方便后续读取
    new ssm.StringParameter(this, 'DevAccountId', {
      parameterName: '/org/accounts/dev/id',
      stringValue: devAccount.attrId
    });

    // 同理创建Staging、CICD等账号并存入SSM
  }
}

• 第二步：开发服务资源部署栈
  部署该栈前首先从SSM参数存储中读取已经生成的各账号ID，再初始化对应环境的服务栈即可，配合CDK凭证插件可自动完成跨账号部署的身份认证。示例代码参考：

import { App, Stack, StackProps } from 'aws-cdk-lib';
import * as ssm from 'aws-cdk-lib/aws-ssm';
import { SampleApp } from './your-sample-app-stack';

const app = new App();

// 从SSM读取账号ID
const devAccountId = ssm.StringParameter.valueForStringParameter(app, '/org/accounts/dev/id');
const stagingAccountId = ssm.StringParameter.valueForStringParameter(app, '/org/accounts/staging/id');

// 初始化对应环境的服务栈
new SampleApp(app, 'DevSampleApp', {
  env: { account: devAccountId, region: 'us-east-2' }
});

new SampleApp(app, 'StagingSampleApp', {
  env: { account: stagingAccountId, region: 'us-east-1' }
});

• 第三步：分阶段部署
  1. 先执行cdk deploy OrgStack，等待账号创建完成、SSM参数写入成功
  2. 再执行cdk deploy --all部署所有服务栈到对应新账号

如果需要完全免人工操作，可以把两个栈的部署流程串到CI/CD流水线中，第一步执行组织栈部署并提取账号ID输出，第二步将账号ID作为参数传入服务栈的部署流程，全程自动执行。

内容的提问来源于stack exchange，提问作者Migwell