如何构建可部署至不同VPC的AWS CDK应用 无需硬编码VPC信息

All arguments to Vpc.fromLookup() must be concrete (no Tokens) 报错的核心原因是：CDK 的 VPC 查找逻辑是在**合成阶段（cdk synth 执行时）**调用 AWS API 完成的，而你使用的 CfnParameter 是 CloudFormation 运行时才会解析的参数，在合成阶段它只是一个未赋值的 Token 占位符，CDK 无法用这个不确定的值调用 API 查询 VPC 信息。

结合你多账户部署、VPC 带专属标签的场景，优先推荐以下两种无硬编码的实现方式：

方案1：按统一标签规则查找VPC（最推荐） #

你可以直接通过 VPC 标签过滤匹配目标VPC，不需要提前获取VPC ID，只要所有账户的VPC都遵循统一的标签规范即可，代码示例如下：

// 栈初始化时从运行环境自动获取当前部署的账户、区域，Jenkins部署到不同账户时会自动读取当前AWS凭证对应的信息
const app = new cdk.App();
new YourBusinessStack(app, 'BusinessAppStack', {
  env: {
    account: process.env.CDK_DEFAULT_ACCOUNT,
    region: process.env.CDK_DEFAULT_REGION,
  }
});

// 栈内部VPC查找逻辑，替换为你们实际使用的统一标签键值对
const targetVpc = ec2.Vpc.fromLookup(this, 'SharedVPC', {
  tags: {
    // 示例：所有账户的业务VPC都统一打了Service=SharedVPC的标签
    'Service': 'SharedVPC',
    // 如果不同环境标签值不同，可以从CDK上下文传入，比如--context env=prod
    'Env': this.node.tryGetContext('env')
  },
  // 避免匹配到账户默认VPC可加这个配置
  isDefault: false
});

该方案完全不需要提前维护各账户的VPC ID，CDK在合成阶段会自动调用当前部署账户的EC2 API，匹配符合标签规则的VPC。

方案2：通过CDK上下文参数传入VPC ID #

如果你们没有统一的VPC标签规范，也可以用CDK上下文参数替代CfnParameter，上下文参数是在合成阶段就传入的确定值，不会生成Token：

代码实现 #

// 从CDK上下文读取VPC ID
const vpcId = this.node.tryGetContext('vpcId');
const targetVpc = ec2.Vpc.fromLookup(this, 'SharedVPC', {
  vpcId: vpcId
});

部署命令 #

部署到对应账户时，在Jenkins流水线中传入对应账户的VPC ID即可：
cdk deploy --context vpcId=当前目标账户的VPC_ID
你可以把各账户的VPC ID存在Jenkins的凭据管理中，部署时自动读取对应值传入，不需要硬编码到代码仓库。

• 确保CDK运行时使用的AWS凭证拥有EC2的DescribeVpcs权限，才能正常执行VPC查找逻辑
• 生成的cdk.context.json可以提交到代码仓库，避免重复执行查找逻辑，也可以在流水线中配置每次部署前清理该文件强制重新查找最新VPC信息

内容的提问来源于stack exchange，提问作者Vineet