AWS CDK 与 GitHub OIDC 集成最佳实践

1. 项目介绍

本项目是基于 AWS Cloud Development Kit (CDK) 的一个开源项目，旨在帮助开发者通过 OpenID Connect (OIDC) 将 GitHub Actions 工作流与 AWS IAM 角色集成。通过这种方式，可以有效提升 AWS 部署的安全性，避免为 GitHub Actions 创建长期访问密钥，转而使用 OIDC 进行身份验证。

2. 项目快速启动

首先，确保您的开发环境中已安装了 Node.js 和 AWS CLI。以下是快速启动项目的步骤：

# 安装 AWS CDK CLI
npm install -g aws-cdk

# 克隆项目仓库
git clone https://github.com/aripalo/aws-cdk-github-oidc.git
cd aws-cdk-github-oidc

# 安装项目依赖
npm install

# 使用 CDK 初始化项目
cdk init app --language typescript

# 编写 CDK 应用程序
# 在栈文件中引入 aws-cdk-github-oidc 并创建相关资源
import { GithubActionsIdentityProvider } from 'aws-cdk-github-oidc';

const provider = new GithubActionsIdentityProvider(this, 'GithubProvider');

# 定义 GitHub Actions 可以承担的 IAM 角色
import { GithubActionsRole } from 'aws-cdk-github-oidc';

const uploadRole = new GithubActionsRole(this, 'UploadRole', {
  provider,
  owner: 'octo-org',
  repo: 'octo-repo',
  filter: 'ref:refs/tags/v*'
});

# 部署 CDK 应用程序
cdk deploy

3. 应用案例和最佳实践

案例一：为特定的 GitHub Actions 工作流创建 IAM 角色

import { GithubActionsRole } from 'aws-cdk-github-oidc';

const deployRole = new GithubActionsRole(this, 'DeployRole', {
  provider,
  owner: 'octo-org',
  repo: 'octo-repo',
  roleName: 'MyDeployRole',
  description: 'This role deploys stuff to AWS',
  maxSessionDuration: cdk.Duration.hours(2),
  // 可以添加其他策略，例如：
  // addManagedPolicy(iam.ManagedPolicy.fromAwsManagedPolicyName('AdministratorAccess'))
});

案例二：限制 IAM 角色的使用范围

通过设置 filter 属性，可以限制哪些 GitHub Actions 工作流可以使用 IAM 角色。

const restrictedRole = new GithubActionsRole(this, 'RestrictedRole', {
  provider,
  owner: 'octo-org',
  repo: 'octo-repo',
  filter: 'ref:refs/heads/main' // 仅允许主分支的工作流使用此角色
});

4. 典型生态项目

在 AWS CDK 生态中，有许多类似的项目，它们可以帮助开发者快速实现各种功能，例如：

• aws-cdk-ec2: 用于创建和管理 EC2 实例的 CDK 项目。
• aws-cdk-s3: 用于创建和管理 S3 存储桶的 CDK 项目。
• aws-cdk-lambda: 用于部署 AWS Lambda 函数的 CDK 项目。

这些项目都遵循类似的最佳实践，确保安全性、可维护性和可扩展性。