AWS CDK如何检查OpenSearch服务关联角色是否已存在而非按区域判断？

可行，这里有两种方案解决你的多区域部署场景下的SLR创建问题：

方案1：直接创建SLR，利用AWS API的幂等性 #

AWS的服务关联角色(SLR)是账户级全局资源，而非区域级资源。也就是说，只要你的AWS账户中已经存在AWSServiceRoleForAmazonOpenSearchService，无论在哪个区域尝试创建同名SLR，AWS的CreateServiceLinkedRole API都会返回成功（不会抛出重复创建的错误）。

基于这个特性，你可以直接移除代码中的区域判断逻辑，在每个部署OpenSearch的栈中定义SLR资源即可。CDK部署时会自动识别该角色是否存在，已存在则跳过创建，不存在则自动创建，完美适配多区域部署场景。

修改后的代码示例：

# 移除区域判断，直接创建SLR
slr = iam.CfnServiceLinkedRole(
    self,
    "OpenSearchServiceLinkedRole",
    aws_service_name="es.amazonaws.com",
)

# 确保SLR创建完成后再部署OpenSearch域，避免依赖问题
domain = opensearchservice.Domain(...)
domain.node.add_dependency(slr)

这个方案的优势是：

• 代码极简，无需额外逻辑
• 完全利用AWS原生特性，稳定性高
• 适配任意区域部署顺序，不管先部署us-east-1还是ap-northeast-2都能正常运行

方案2：用自定义资源(Custom Resource)实现“检查-创建”逻辑 #

如果你需要更精细化的控制（比如明确检查角色状态再决定是否创建），可以通过CDK自定义资源+Lambda实现先检查再创建的逻辑。

代码示例：

from aws_cdk import (
    aws_iam as iam,
    aws_lambda as _lambda,
    custom_resources as cr,
    Stack,
    Construct,
)

class OpenSearchStack(Stack):
    def __init__(self, scope: Construct, construct_id: str, **kwargs) -> None:
        super().__init__(scope, construct_id, **kwargs)

        # 定义Lambda函数，负责检查和创建SLR
        slr_checker = _lambda.Function(
            self, "SLRChecker",
            runtime=_lambda.Runtime.PYTHON_3_11,
            handler="index.handler",
            code=_lambda.Code.from_inline("""
import boto3
import cfnresponse

def handler(event, context):
    iam_client = boto3.client('iam')
    target_role = 'AWSServiceRoleForAmazonOpenSearchService'
    
    try:
        if event['RequestType'] in ['Create', 'Update']:
            # 尝试获取角色，判断是否存在
            iam_client.get_role(RoleName=target_role)
            cfnresponse.send(event, context, cfnresponse.SUCCESS, {"Status": "Role already exists"})
        elif event['RequestType'] == 'Delete':
            # SLR无法手动删除（需先删除所有关联的OpenSearch域），直接返回成功
            cfnresponse.send(event, context, cfnresponse.SUCCESS, {})
    except iam_client.exceptions.NoSuchEntityException:
        # 角色不存在，创建SLR
        iam_client.create_service_linked_role(AWSServiceName='es.amazonaws.com')
        cfnresponse.send(event, context, cfnresponse.SUCCESS, {"Status": "Role created"})
    except Exception as e:
        cfnresponse.send(event, context, cfnresponse.FAILED, {"Error": str(e)})
            """),
            timeout=60,
        )

        # 给Lambda赋予必要权限
        slr_checker.add_to_role_policy(iam.PolicyStatement(
            actions=["iam:GetRole", "iam:CreateServiceLinkedRole"],
            resources=["*"],
        ))

        # 创建自定义资源，触发Lambda执行检查逻辑
        slr_custom_resource = cr.AwsCustomResource(
            self, "SLRCustomResource",
            on_create=cr.AwsSdkCall(
                service="Lambda",
                action="invoke",
                parameters={
                    "FunctionName": slr_checker.function_name,
                    "InvocationType": "RequestResponse",
                },
                physical_resource_id=cr.PhysicalResourceId.of("OpenSearchSLRChecker"),
            ),
            on_update=cr.AwsSdkCall(
                service="Lambda",
                action="invoke",
                parameters={
                    "FunctionName": slr_checker.function_name,
                    "InvocationType": "RequestResponse",
                },
            ),
            policy=cr.AwsCustomResourcePolicy.from_statements([
                iam.PolicyStatement(
                    actions=["lambda:InvokeFunction"],
                    resources=[slr_checker.function_arn],
                )
            ]),
        )

        # 部署OpenSearch域，依赖自定义资源完成
        domain = opensearchservice.Domain(...)
        domain.node.add_dependency(slr_custom_resource)

这个方案的优势是可以完全控制流程，适合有特殊逻辑需求的场景；缺点是需要额外维护Lambda和自定义资源，增加了部署复杂度。

内容的提问来源于stack exchange，提问作者Jack Rogers