如何在CloudFormation模板中获取AWS Lambda返回值并用作条件变量

要实现你的需求，核心是通过**CloudFormation自定义资源（Custom Resource）**调用Lambda，然后提取返回值作为条件变量，具体步骤如下：

1. 确保Lambda返回符合Custom Resource要求的格式 #

CloudFormation自定义资源要求Lambda必须返回特定结构的JSON，你的字典数据需要放在Data字段中，示例返回代码如下：

def handler(event, context):
    # 执行网络配置检查逻辑
    check_result = {
        "VpcExists": True,
        "SubnetCount": 2,
        "IsPublicSubnetAvailable": False
    }
    
    # 返回CloudFormation要求的标准格式
    return {
        "Status": "SUCCESS",
        "Data": check_result,
        "PhysicalResourceId": f"network-check-{context.aws_request_id}"  # 用请求ID保证唯一性
    }

注意：如果检查失败，需返回Status": "FAILED"并附带Reason字段，避免CloudFormation栈挂起。

2. 在CloudFormation模板中定义Custom Resource #

通过AWS::CloudFormation::CustomResource类型调用你的Lambda，示例YAML代码：

Resources:
  NetworkCheckCustomResource:
    Type: AWS::CloudFormation::CustomResource
    Properties:
      # 替换为你的Lambda函数ARN
      ServiceToken: !Sub arn:aws:lambda:${AWS::Region}:${AWS::AccountId}:function:YourNetworkCheckLambdaName
      # 可选：传递参数给Lambda，比如指定要检查的VPC ID
      TargetVpcId: !Ref YourVpcParameter

3. 提取Lambda返回字典中的值 #

CloudFormation会自动保存Custom Resource的Data字段内容，你可以通过!GetAtt直接提取字典中的指定键值：

Outputs:
  # 输出提取的值用于调试或后续引用
  VpcCheckResult:
    Value: !GetAtt NetworkCheckCustomResource.VpcExists
  SubnetCountResult:
    Value: !GetAtt NetworkCheckCustomResource.SubnetCount

4. 将提取的值用作条件变量 #

在模板的Conditions段基于提取的值定义条件，然后在后续资源中用该条件控制资源的创建逻辑：

Conditions:
  # 当VPC存在时触发此条件
  ShouldCreateVpcDependentResources: !Equals [!GetAtt NetworkCheckCustomResource.VpcExists, true]
  # 当可用子网数≥2时触发此条件
  ShouldCreateMultiSubnetResource: !GreaterThanOrEqualTo [!GetAtt NetworkCheckCustomResource.SubnetCount, 2]

Resources:
  # 仅当VPC存在时创建该安全组
  ProtectedSecurityGroup:
    Type: AWS::EC2::SecurityGroup
    Condition: ShouldCreateVpcDependentResources
    Properties:
      GroupDescription: Security group for VPC-dependent services
      VpcId: !Ref YourVpcParameter

  # 仅当子网数≥2时创建该负载均衡器
  ApplicationLoadBalancer:
    Type: AWS::ElasticLoadBalancingV2::LoadBalancer
    Condition: ShouldCreateMultiSubnetResource
    Properties:
      Scheme: internet-facing
      Subnets: !Ref YourSubnetList

关键注意事项 #

• Lambda权限配置：必须给CloudFormation服务授予调用该Lambda的权限，可通过Lambda的资源策略实现：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {"Service": "cloudformation.amazonaws.com"},
        "Action": "lambda:InvokeFunction",
        "Resource": "arn:aws:lambda:us-east-1:123456789012:function:YourNetworkCheckLambdaName",
        "Condition": {
          "StringEquals": {"AWS:SourceAccount": "123456789012"},
          "ArnLike": {"AWS:SourceArn": "arn:aws:cloudformation:us-east-1:123456789012:stack/YourStackName/*"}
        }
      }
    ]
  }
  

• PhysicalResourceId唯一性：对于无状态的检查类Lambda，建议用请求ID或固定前缀加随机值，避免栈更新时出现资源冲突。
• 栈更新行为：自定义资源的返回值仅在栈创建或更新时获取，若要重新执行检查，需触发栈更新（比如修改自定义资源的某个参数）。

内容的提问来源于stack exchange，提问作者Ranyk