使用CDK更新AWS AppRunner VPC连接器报错，寻求可行解决方案

问题场景 #

用CDK部署连接私有VPC内RDS的AppRunner服务时，首次创建VPC连接器一切正常，但尝试给该连接器添加新标签时，触发如下报错：

The security groups combination provided in the request already exists on existing vpc connector.
Existing VPC connector arn: arn:aws:apprunner:eu-west-1:XXXXXXXXXXXX:vpcconnector/myarvpcconnector/1/, Security Groups: [sg-XXXXXXX]

尝试修改资源名称无效，因为CDK会先创建新连接器再删除旧的，新连接器使用相同安全组组合时会和旧实例冲突，导致部署失败。

可行解决方案 #

方案1：手动清理旧资源后重新部署 #

1. 先通过AWS控制台或CLI删除现有VPC连接器：

   aws apprunner delete-vpc-connector --vpc-connector-arn "arn:aws:apprunner:eu-west-1:XXXXXXXXXXXX:vpcconnector/myarvpcconnector/1/<ID>"
   

2. 确保AppRunner服务已临时切换为不依赖该连接器（或暂停服务），避免业务中断；
3. 执行cdk deploy让CDK重新创建带新标签的VPC连接器，之后再恢复AppRunner服务配置。

方案2：临时修改安全组组合完成更新 #

1. 在CDK代码中给VPC连接器临时新增一个闲置的安全组（比如新建一个无规则的空安全组）；
2. 运行cdk deploy，此时安全组组合变化，CDK会替换旧连接器为带新标签+临时安全组的实例；
3. 从代码中移除临时添加的安全组，再次执行cdk deploy，将安全组恢复为原组合，标签会保留在新连接器上。

方案3：直接用CLI添加标签（无需重建） #

绕开CDK的资源更新限制，直接通过AWS CLI给现有VPC连接器打标签：

aws apprunner tag-resource \
  --resource-arn "arn:aws:apprunner:eu-west-1:XXXXXXXXXXXX:vpcconnector/myarvpcconnector/1/<ID>" \
  --tags Key=你的标签键,Value=你的标签值

操作完成后，记得在CDK代码中同步添加该标签，避免后续部署时出现配置不一致的问题。

内容的提问来源于stack exchange，提问作者Yougeshwar Khatri