CDK堆栈删除时IAM Role无法自动销毁的解决方法

在CDK根堆栈中创建了供Lambda使用的IAM Role，并定义了两个嵌套堆栈，代码如下：

public class TestStack : Stack
{

   public TestStack(Construct scope, string id, IStackProps props = null) : base(scope, id, props)
   {
        AddRole();

        new NestedStack1(this, "nested-stack1");
        new NestedStack2(this, "nested-stack2");
   }

   private void AddRole()
   {
       var role = new Role(this, "test-role", new RoleProps
       {
           AssumedBy = new ServicePrincipal("lambda.amazonaws.com"),
           ManagedPolicies = new IManagedPolicy[]
           {
               ManagedPolicy.FromAwsManagedPolicyName("service-role/AWSLambdaBasicExecutionRole")
           },
           RoleName = "test-role"
       });

       role.ApplyRemovalPolicy(RemovalPolicy.DESTROY);
   }
}

在两个嵌套堆栈中，通过硬编码ARN的方式解析该IAM Role：

Role.FromRoleArn(this, "test-role", $"arn:aws:iam::{Account}:role/test-role")

这么做是为了避免循环依赖——Lambda在其中一个嵌套堆栈中创建，并将角色设置为上述解析得到的角色。代码可正常运行，但删除TestStack时IAM Role删除失败，导致整个堆栈删除失败，即使已设置RemovalPolicy.DESTROY也无效。

CloudFormation事件中的错误信息：

Cannot delete entity, must delete policies first. (Service: AmazonIdentityManagement; Status Code: 409; Error Code: DeleteConflict;

1. 改用CDK原生的资源引用传递（推荐） #

硬编码ARN的方式会破坏CloudFormation的依赖链，导致删除时无法正确识别资源的依赖顺序。正确的做法是将根堆栈中的Role作为参数传递给嵌套堆栈：

• 修改嵌套堆栈的构造函数，添加Role参数：

public class NestedStack1 : Stack
{
    public NestedStack1(Construct scope, string id, Role lambdaRole, IStackProps props = null) : base(scope, id, props)
    {
        // 直接使用传入的lambdaRole创建Lambda
        new Function(this, "test-lambda", new FunctionProps
        {
            Runtime = Runtime.DOTNET_6,
            Handler = "Test::Test.Function::FunctionHandler",
            Code = Code.FromAsset("lambda"),
            Role = lambdaRole
        });
    }
}

• 在根堆栈中实例化嵌套堆栈时传入Role对象：

private void AddRole()
{
    var role = new Role(this, "test-role", new RoleProps
    {
        AssumedBy = new ServicePrincipal("lambda.amazonaws.com"),
        ManagedPolicies = new IManagedPolicy[]
        {
            ManagedPolicy.FromAwsManagedPolicyName("service-role/AWSLambdaBasicExecutionRole")
        },
        RoleName = "test-role"
    });

    role.ApplyRemovalPolicy(RemovalPolicy.DESTROY);
    // 传入role到嵌套堆栈
    new NestedStack1(this, "nested-stack1", role);
    new NestedStack2(this, "nested-stack2", role);
}

这样CloudFormation会自动建立依赖关系，删除时先销毁依赖该Role的Lambda资源，再删除Role本身，避免DeleteConflict错误。

2. 手动调整删除顺序（临时方案） #

如果无法修改代码结构，可手动调整删除流程：

• 先删除两个嵌套堆栈，确认嵌套堆栈中的Lambda等资源被销毁后，再删除根堆栈。
• 或者在AWS控制台中先手动移除Role关联的Lambda服务关联关系，再执行堆栈删除。

3. 自定义清理逻辑（复杂场景） #

如果必须保留硬编码ARN的方式，可以通过CDK自定义资源（Custom Resource）实现堆栈删除时的前置清理：

• 创建一个Lambda自定义资源，在堆栈删除时触发，先删除Role的关联策略或依赖该Role的资源。
• 为自定义资源设置依赖关系，确保它在Role删除前执行。不过这种方式需要额外编写清理逻辑，不推荐作为首选方案。

内容的提问来源于stack exchange，提问作者user246392