如何在AWS CDK中检查托管策略是否存在并仅在不存在时创建新策略？

没问题，我来帮你搞定AWS CDK里托管策略的检查和按需创建的需求！下面分两部分给你详细说明：

一、检查托管策略是否存在 #

你可以通过两种常见方式来检查账户中是否已存在目标托管策略：

1. 使用CDK内置的from_lookup方法 #

这个方法会在synth阶段（生成CloudFormation模板前）直接查询你的AWS账户，通过策略名称或ARN查找现有资源。如果找不到目标策略，会抛出异常，我们可以利用这一点来判断：

from aws_cdk import aws_iam as iam

try:
    # 尝试按名称查找托管策略
    existing_policy = iam.ManagedPolicy.from_lookup(
        self, "ExistingManagedPolicy",
        managed_policy_name="MyTargetPolicy"
    )
    print("目标托管策略已存在")
except Exception as e:
    # 捕获异常说明策略不存在
    print("目标托管策略不存在")

注意：from_lookup依赖AWS账户的实时状态，适合开发环境或你明确知道策略可能存在的场景。

2. 通过AWS SDK+自定义资源检查（部署时校验） #

如果需要在部署阶段（而不是synth阶段）做校验，避免synth时和部署时资源状态不一致的问题，可以用Custom Resource调用IAM的getPolicy API：

from aws_cdk import custom_resources as cr, aws_iam as iam

# 创建自定义资源执行策略检查
policy_checker = cr.AwsCustomResource(self, "PolicyChecker",
    on_create=cr.AwsSdkCall(
        service="IAM",
        action="getPolicy",
        parameters={
            "PolicyArn": "arn:aws:iam::123456789012:policy/MyTargetPolicy"
        },
        physical_resource_id=cr.PhysicalResourceId.of("PolicyCheck")
    ),
    # 给自定义资源赋予查询策略的权限
    policy=cr.AwsCustomResourcePolicy.from_statements([
        iam.PolicyStatement(
            actions=["iam:GetPolicy"],
            resources=["*"]
        )
    ])
)

# 通过返回结果判断策略是否存在
policy_exists = policy_checker.get_response_field("Policy.PolicyName") is not None

二、实现仅当策略不存在时创建 #

结合上面的检查方法，我们可以实现“按需创建”的逻辑，这里推荐两种可靠的方式：

方式1：from_lookup + 异常捕获创建 #

适合简单场景，直接在synth阶段判断并创建：

from aws_cdk import aws_iam as iam

try:
    # 优先查找现有策略
    managed_policy = iam.ManagedPolicy.from_lookup(
        self, "MyManagedPolicy",
        managed_policy_name="MyTargetPolicy"
    )
except Exception:
    # 策略不存在时，创建新的托管策略
    managed_policy = iam.ManagedPolicy(self, "NewManagedPolicy",
        managed_policy_name="MyTargetPolicy",
        statements=[
            iam.PolicyStatement(
                actions=["s3:ListBucket"],
                resources=["arn:aws:s3:::my-bucket"]
            )
        ]
    )

方式2：CloudFormation条件 + 自定义资源（生产环境推荐） #

这种方式在部署阶段做校验，避免状态不一致问题，适合生产环境：

from aws_cdk import aws_iam as iam, custom_resources as cr, CfnCondition, Fn, CfnResource

# 1. 用自定义资源检查策略是否存在
policy_checker = cr.AwsCustomResource(self, "PolicyChecker",
    on_create=cr.AwsSdkCall(
        service="IAM",
        action="getPolicy",
        parameters={
            # 用Fn.sub动态替换账户ID
            "PolicyArn": Fn.sub("arn:aws:iam::${AWS::AccountId}:policy/MyTargetPolicy")
        },
        physical_resource_id=cr.PhysicalResourceId.of("PolicyCheck")
    ),
    on_update=cr.AwsSdkCall(
        service="IAM",
        action="getPolicy",
        parameters={
            "PolicyArn": Fn.sub("arn:aws:iam::${AWS::AccountId}:policy/MyTargetPolicy")
        }
    ),
    policy=cr.AwsCustomResourcePolicy.from_statements([
        iam.PolicyStatement(
            actions=["iam:GetPolicy"],
            resources=["*"]
        )
    ])
)

# 2. 创建CloudFormation条件：策略不存在时为true
policy_does_not_exist = CfnCondition(self, "PolicyDoesNotExist",
    expression=Fn.condition_not(
        Fn.condition_exists(policy_checker.get_response_field("Policy.PolicyName"))
    )
)

# 3. 创建新策略，并绑定条件（仅当策略不存在时才创建）
new_policy = iam.ManagedPolicy(self, "NewManagedPolicy",
    managed_policy_name="MyTargetPolicy",
    statements=[
        iam.PolicyStatement(
            actions=["s3:ListBucket"],
            resources=["arn:aws:s3:::my-bucket"]
        )
    ]
)
# 给策略资源添加条件
CfnResource.of(new_policy).cfn_options.condition = policy_does_not_exist

# 4. 按需引用策略ARN（现有策略或新策略）
policy_arn = Fn.condition_if(
    policy_does_not_exist.logical_id,
    new_policy.managed_policy_arn,
    Fn.sub("arn:aws:iam::${AWS::AccountId}:policy/MyTargetPolicy")
)

内容的提问来源于stack exchange，提问作者Archit