如何通过CDK将同可用区子网及路由表映射至防火墙端点？

问题根源 #

你遇到的firewallSubnetInAz为undefined的核心原因有两个：

1. firewall.attrEndpointIds返回的是CloudFormation令牌列表，其内部元素顺序不固定，和this.vpc.availabilityZones的顺序无法保证一致，导致按索引匹配的AZ可能不存在对应子网。
2. 直接用令牌形式的AZ值调用selectSubnets，CDK在合成阶段无法解析令牌的实际值，导致匹配失败。

修正实现代码 #

以下是可靠的实现方式，通过构建AZ到子网的映射来匹配同区域的防火墙端点：

import * as cdk from 'aws-cdk-lib';
import * as ec2 from 'aws-cdk-lib/aws-ec2';
import * as networkfirewall from 'aws-cdk-lib/aws-networkfirewall';

// 假设FIREWALL_SUBNET_GROUP_NAME是你的防火墙子网组名称
const FIREWALL_SUBNET_GROUP_NAME = 'FirewallSubnetGroup';

// 1. 提前构建防火墙子网的「可用区→子网实例」映射
const firewallSubnetByAz = new Map<string, ec2.Subnet>();
this.vpc.selectSubnets({ subnetGroupName: FIREWALL_SUBNET_GROUP_NAME }).subnets.forEach(subnet => {
  firewallSubnetByAz.set(subnet.availabilityZone, subnet);
});

// 2. 获取防火墙端点列表的长度，用于遍历
const endpointCount = cdk.Fn.length(firewall.attrEndpointIds);

// 3. 遍历每个防火墙端点，匹配对应AZ的子网并添加路由
for (let i = 0; i < endpointCount; i++) {
  // 取出单个端点条目，拆分可用区和VPCE ID
  const endpointEntry = cdk.Fn.select(i, firewall.attrEndpointIds);
  const splitParts = cdk.Fn.split(':', endpointEntry, 2);
  const targetAz = cdk.Fn.select(0, splitParts);
  const vpceId = cdk.Fn.select(1, splitParts);

  // 通过映射获取对应AZ的子网
  const targetSubnet = firewallSubnetByAz.get(targetAz);
  if (!targetSubnet) {
    throw new Error(`未找到可用区${targetAz}对应的防火墙子网，请检查子网组配置`);
  }

  // 为子网路由表添加指向同AZ防火墙端点的路由
  targetSubnet.addRoute(`firewall-route-${targetAz}`, {
    routerId: vpceId,
    routerType: ec2.RouterType.VPC_ENDPOINT,
  });
}

关键优化点 #

• AZ映射构建：利用子网已知的availabilityZone属性（非令牌）构建映射，确保合成阶段就能准确匹配子网。
• 无序端点处理：不再依赖端点列表的顺序，而是通过每个端点自带的AZ标识来匹配子网，彻底解决顺序不匹配问题。
• 路由ID命名：用AZ作为路由ID的一部分，避免索引重复导致的资源命名冲突，同时更易排查问题。

内容的提问来源于stack exchange，提问作者lipeiran