CloudFormation中Fn::ForEach结合Fn::GetAZs生成资源失败如何修复？

尝试通过Fn::ForEach结合Fn::GetAZs的集合动态创建安全组，但堆栈创建报错：

Transform AWS::LanguageExtensions failed with: Could not find a collection or could not be resolved for Fn::ForEach

原模板代码：

AWSTemplateFormatVersion: '2010-09-09'
Transform: 'AWS::LanguageExtensions'
Resources:
  Fn::ForEach::CreateSecurityGroups:
    - 'AZIndex'
    - Fn::Split: [",", Fn::GetAZs: !Ref "AWS::Region"]
    - Fn::Sub: SecurityGroup${AZIndex}
      Type: 'AWS::EC2::SecurityGroup'
      Properties:
        GroupDescription: 'SecurityGroup-${AZIndex}'
        GroupName: 
          Fn::Sub: 'SecurityGroup-${AZIndex}'

尝试过以下写法，仍报同类错误：

- Fn::Join:
  - ","
  - Fn::GetAZs: ''

- Fn::GetAZs:
    Ref: 'AWS::Region'

- Fn::GetAZs: ''

修复方案 #

错误核心原因是Fn::ForEach的第二个参数需直接接收列表类型值，且资源定义的语法结构有误。Fn::GetAZs本身已返回可用区列表，无需额外格式转换，同时需修正Fn::ForEach的资源生成语法。

正确模板写法如下：

AWSTemplateFormatVersion: '2010-09-09'
Transform: 'AWS::LanguageExtensions'
Resources:
  Fn::ForEach::CreateSecurityGroups:
    - AZ  # 迭代变量名
    - !GetAZs ''  # 直接使用GetAZs返回的列表，空字符串等价于引用AWS::Region
    - SecurityGroup${AZ}:  # 动态生成资源名称
        Type: 'AWS::EC2::SecurityGroup'
        Properties:
          GroupDescription: !Sub 'SecurityGroup-${AZ}'
          GroupName: !Sub 'SecurityGroup-${AZ}'

关键说明： #

• 直接使用Fn::GetAZs返回值：Fn::GetAZs默认返回当前区域的可用区列表（如["us-east-1a", "us-east-1b"]），Fn::ForEach可直接迭代该列表，无需用Split/Join做格式转换。
• 修正Fn::ForEach语法：第三个参数需是完整的键值对——键为动态生成的资源名称（通过!Sub替换迭代变量），值为包含Type、Properties的完整资源定义，之前的写法拆分了资源名称与定义，导致语法错误。
• 简化迭代变量：迭代变量名无需加引号，直接使用简洁名称（如AZ）即可被CloudFormation识别。

内容的提问来源于stack exchange，提问作者Constantin