AWS CDK中aws_iam.User开启passwordResetRequired如何配置initialPassword

关于initialPassword的参数对应关系 #

CDK IAM User构造的文档中提到的initialPassword是逻辑概念，对应的实际传参就是你代码里用到的password参数，没有单独命名为initialPassword的入参，你理解的直接设置该参数是对的。

关于后续栈更新是否会修改用户密码 #

你的担心不会发生，有两层机制保障：

• CDK底层依赖CloudFormation实现资源变更，只有创建IAM用户的那一刻才会使用你传入的password值完成初始化，用户首次登录完成密码重置后，CloudFormation后续栈更新不会覆盖用户自行设置的新密码
• 只要你不修改password参数的输入值、也不调整IAM用户的密码相关配置，即使后续更新栈、或者轮转Secrets Manager的加密密钥，已经创建完成的老用户的密码都不会被重置，只有新创建的用户会使用当前的密钥值作为初始密码。

关于你当前实现的合理性 #

你现在的写法功能上可以正常实现初始密码+首次登录强制重置的需求，但存在安全优化空间：目前所有用户共用同一个初始密码，建议调整为每个用户单独生成专属的随机初始密码，每个用户对应独立的Secrets Manager密钥，避免单点泄露影响所有用户。
如果要实现自动生成随机密码，开启Secret构造的generate_secret_string配置即可，无需手动维护密码值。

内容的提问来源于stack exchange，提问作者Kamaradski