如何解决AWS CloudFormation中安全组的循环依赖问题？

CloudFormation不允许资源在创建阶段互相引用（会触发循环依赖错误），针对Auto Scaling组安全组与RDS安全组双向授权的场景，最佳解决方式是拆分安全组的创建与规则配置：先创建空的安全组，再通过独立的AWS::EC2::SecurityGroupIngress和AWS::EC2::SecurityGroupEgress资源添加双向访问规则。

修改后的CloudFormation代码如下：

# 先创建基础安全组（无互相依赖的规则）
AutoscalingSecurityGroup:
  Type: 'AWS::EC2::SecurityGroup'
  Properties:
    GroupDescription: Security group for autoscaling
    VpcId: !Ref VPC
    # 保留默认全量出规则，或按需配置非依赖RDS的规则
    SecurityGroupEgress:
      - IpProtocol: -1
        CidrIp: 0.0.0.0/0

RDSSecurityGroup:
  Type: 'AWS::EC2::SecurityGroup'
  Properties:
    GroupDescription: Security group for RDS instance
    VpcId: !Ref VPC
    # RDS默认无需额外出规则，保留默认即可
    SecurityGroupEgress:
      - IpProtocol: -1
        CidrIp: 0.0.0.0/0

# 配置Auto Scaling组访问RDS的出规则
AutoscalingSGToRDSEgress:
  Type: 'AWS::EC2::SecurityGroupEgress'
  Properties:
    GroupId: !Ref AutoscalingSecurityGroup
    IpProtocol: tcp
    FromPort: 3306
    ToPort: 3306
    DestinationSecurityGroupId: !Ref RDSSecurityGroup

# 配置RDS允许Auto Scaling组访问的入规则
RDSToAutoscalingIngress:
  Type: 'AWS::EC2::SecurityGroupIngress'
  Properties:
    GroupId: !Ref RDSSecurityGroup
    IpProtocol: tcp
    FromPort: 3306
    ToPort: 3306
    SourceSecurityGroupId: !Ref AutoscalingSecurityGroup

关键说明： #

• 基础安全组创建时不包含互相引用的规则，彻底避免了创建阶段的循环依赖。
• 独立的规则资源明确依赖已创建完成的安全组，CloudFormation可按依赖顺序依次创建这些规则。
• 实际场景中通常只需要单向规则（Auto Scaling组主动访问RDS），可根据需求删减不必要的规则。

内容的提问来源于stack exchange，提问作者MikeMac