amazon-web-services - 为 aws-cdk 管道的跨账户执行角色添加权限

Question

我确实有三个 AWS 账户:

• 共享(aws-cdk 管道所在的位置)
• 发展
• 生产

Shared账号拥有一个route53域名，对应的zone。

我确实希望 Development 和 Production 能够使用这些域名(附加 dns 记录，例如 dev.domainname.com)

编辑:我还需要访问共享帐户中的其他资源(s3 存储桶、证书管理器等)，这是为了问题而进行的简化。

我引导了 pipeline stages 的帐户和跨帐户部署按此操作 guide

如果我尝试部署使用该域的堆栈，它会按预期失败，因为 Development 堆栈中的角色 (cfn-exec-role) 没有权限共享堆栈的资源。

我可以在共享堆栈中附加必要的策略，允许 开发 和 生产 堆栈中的角色访问必要的资源，但有什么办法可以解决这在代码中按照“基础设施即代码”？

这需要获取开发和生产帐户的执行角色，并在共享帐户

中附加权限

Answer 1

因为 Route53 支持 cross-account subdomain Hosted Zones ，可以避免跨账户资源共享或权限。在您的开发帐户中创建一个 dev.domainname.com 托管区域，并在您的生产帐户中创建一个 domainname.com 托管区域。

const hostedZone = HostedZone.fromLookup(this, 'HostedZone', {
  // synth-time hosted zone lookup
  domainName: props.isProd ? 'domainname.com' : 'dev.domainname.com',
});