CloudFormation栈卡在Create-In-Progress状态，CDK部署异常如何排查？

1. 先看CloudFormation事件日志定位问题 #

登录AWS控制台进入CloudFormation服务，找到卡住的栈，切换到事件标签页，看最新的事件条目——最后一个处于Create In Progress的资源，就是拖慢整个栈的核心原因。

2. 针对三个资源逐一排查 #

Route53 HostedZone #

• 检查HostedZone状态是否为INSYNC，如果是公网HostedZone：
  • 若域名是第三方注册商托管，确认是否已将注册商处的NS记录更新为HostedZone提供的NS值；Route53注册的域名会自动同步，无需手动操作。
  • 用命令验证NS记录是否生效：

    dig ns your-domain.com
    

DNS验证型ACM证书（dnsValidationCertificate） #

• 进入ACM控制台找到对应证书，查看验证状态：
  • 若显示Pending Validation，去Route53 HostedZone的记录集里，确认是否存在ACM自动生成的_xxxx.your-domain.com格式CNAME记录，值是否和ACM要求的一致。
  • 要是CNAME记录缺失，大概率是CDK使用的执行角色没有Route53写入权限，此时手动添加ACM提供的CNAME记录到HostedZone即可触发验证。

IAM角色 #

• 检查角色是否创建成功：
  • 查看角色的信任策略是否正确配置（比如允许CloudFormation、ACM等服务调用）。
  • 确认账号是否有SCP策略限制了IAM角色的创建，或者权限边界设置导致权限不足。

3. 排查账号层面限制 #

• 去服务配额页面，检查当前账号的Route53 HostedZone、ACM证书数量是否已达上限。
• 确认账号状态正常，没有欠费、未处理的违规警告等情况。

4. 手动干预或回滚 #

• 如果确定某资源无法自动创建，可手动在控制台创建该资源，然后修改CDK代码导入现有资源（比如用HostedZone.fromHostedZoneAttributes），再重新部署。
• 若长时间无进展，执行栈回滚恢复到初始状态，排查完代码或账号配置差异后再重新尝试部署。

5. 对比两个账号的配置差异 #

• 确认两个账号的部署区域是否一致（部分服务的部署速度存在区域差异）。
• 检查本地CDK版本是否和之前成功部署时一致（不同版本CDK生成的CloudFormation模板可能有差异）。
• 对比两个账号的IAM权限、SCP策略、服务配额设置，找出可能的限制项。

内容的提问来源于stack exchange，提问作者ReactNewbie123