如何在CloudFormation中使用参数动态生成密钥引用？

你无法在参数默认值中使用Fn::Join这类内置函数，但可以通过以下几种方式实现动态环境的密钥引用：

方法1：将密钥引用逻辑移至资源属性（推荐） #

直接在需要使用密码的资源属性中，用Fn::Sub拼接包含环境变量的动态引用字符串，示例如下：

Parameters:
  Environment:
    Type: String
    AllowedValues: ["Dev","Staging","Production"]

Resources:
  MyRdsInstance:
    Type: AWS::RDS::DBInstance
    Properties:
      # 其他必要属性...
      MasterUserPassword: !Sub "{{resolve:secretsmanager:arn:aws:secretsmanager:us-east-1:11111:secret:${Environment}/applications/etl-aasdEW:SecretString:DB_PASSWORD}}"

这种方式直接在资源里动态生成对应环境的密钥引用路径，绕过参数的限制。

方法2：使用Mappings映射环境与密钥ARN #

先定义不同环境对应的完整密钥ARN，再通过Fn::FindInMap和Fn::Sub组合引用：

Parameters:
  Environment:
    Type: String
    AllowedValues: ["Dev","Staging","Production"]

Mappings:
  EnvSecretMap:
    Dev:
      SecretArn: "arn:aws:secretsmanager:us-east-1:11111:secret:Dev/applications/etl-aasdEW"
    Staging:
      SecretArn: "arn:aws:secretsmanager:us-east-1:11111:secret:Staging/applications/etl-aasdEW"
    Production:
      SecretArn: "arn:aws:secretsmanager:us-east-1:11111:secret:Production/applications/etl-aasdEW"

Resources:
  MyRdsInstance:
    Type: AWS::RDS::DBInstance
    Properties:
      # 其他必要属性...
      MasterUserPassword: !Sub "{{resolve:secretsmanager:${EnvSecretMap[!Ref Environment].SecretArn}:SecretString:DB_PASSWORD}}"

这种方式适合密钥ARN结构差异较大的场景，便于统一管理不同环境的密钥路径。

注意事项 #

• 动态引用{{resolve:secretsmanager:...}}中的ARN必须正确，注意SecretsManager的ARN可能包含随机后缀（比如-abc123），如果密钥名称是固定前缀，建议使用完整ARN或者确保引用路径匹配实际密钥名称。
• 确保CloudFormation执行角色拥有访问对应SecretsManager密钥的权限（secretsmanager:GetSecretValue）。

内容的提问来源于stack exchange，提问作者ShakyaS