使用CDK为现有CloudFront分发添加源/行为时遇报错求解决

错误原因 #

你使用Distribution.fromDistributionAttributes获取的是CloudFront分发的只读引用，该对象仅用于引用现有资源，并非CDK实际构造的可修改实例，因此它的node.defaultChild为undefined，无法读取distributionConfig。CDK的L2构造（如Distribution）的fromXxx系列方法不支持直接修改资源配置。

正确实现方案 #

方案一：用CDK L1构造接管现有分发（推荐，符合IaC最佳实践） #

通过L1的CfnDistribution定义现有分发的完整配置，让CDK接管资源管理，后续可直接修改配置添加源/行为：

1. 先通过AWS控制台或aws cloudfront get-distribution --id E33333B命令获取现有分发的完整配置JSON。
2. 在CDK代码中复制完整配置，添加新的源和缓存行为：

import { CfnDistribution } from 'aws-cdk-lib/aws-cloudfront';

// 替换为你的现有分发完整配置，添加新的源和行为
const distConfig: CfnDistribution.DistributionConfigProperty = {
  origins: [
    // 保留现有源配置
    {
      domainName: 'existing-mediapackage-endpoint.mediapackage.us-east-1.amazonaws.com',
      id: 'ExistingMediaPackageOrigin',
      customOriginConfig: {
        originProtocolPolicy: 'https-only',
        httpPort: 80,
        httpsPort: 443
      }
    },
    // 新增MediaPackage源
    {
      domainName: 'new-mediapackage-endpoint.mediapackage.us-east-1.amazonaws.com',
      id: 'NewMediaPackageOrigin',
      customOriginConfig: {
        originProtocolPolicy: 'https-only',
        httpPort: 80,
        httpsPort: 443
      }
    }
  ],
  cacheBehaviors: [
    // 保留现有缓存行为
    {
      pathPattern: '/existing-stream/*',
      targetOriginId: 'ExistingMediaPackageOrigin',
      viewerProtocolPolicy: 'redirect-to-https',
      defaultTTL: 300
    },
    // 新增缓存行为
    {
      pathPattern: '/new-stream/*',
      targetOriginId: 'NewMediaPackageOrigin',
      viewerProtocolPolicy: 'redirect-to-https',
      defaultTTL: 300
    }
  ],
  // 必须保留现有分发的其他必填配置（如defaultCacheBehavior、viewerCertificate等）
  defaultCacheBehavior: { /* 现有默认行为配置 */ },
  comment: 'MediaPackage Cache Distribution',
  enabled: true,
  viewerCertificate: { /* 现有证书配置 */ }
};

// 创建CfnDistribution关联现有分发
const distribution = new CfnDistribution(scope, `${props.stackName}-Distribution`, {
  distributionConfig: distConfig
});

// 覆盖逻辑ID，确保CDK识别为现有资源
distribution.overrideLogicalId('E33333B');

3. 首次部署前运行cdk import将现有分发导入到CDK栈，之后即可通过修改distConfig来更新分发，CDK会自动生成变更集执行更新。

方案二：用自定义资源调用CloudFront API（适合快速修改） #

若不想维护完整配置，可通过CDK自定义资源调用CloudFront的UpdateDistribution API添加源/行为：

import { CustomResource, CustomResourceProvider } from 'aws-cdk-lib/custom-resources';
import { PolicyStatement, Aws } from 'aws-cdk-lib/aws-iam';

// 定义CloudFront更新调用（需先通过getDistribution获取现有ETag和配置）
const updateDistCall = {
  service: 'CloudFront',
  action: 'updateDistribution',
  parameters: {
    Id: 'E33333B',
    DistributionConfig: {
      ETag: '', // 替换为现有分发的ETag（通过aws cloudfront get-distribution获取）
      Origins: {
        Quantity: 2, // 现有数量+1
        Items: [
          /* 粘贴现有源配置 */,
          // 新增源
          {
            DomainName: 'new-mediapackage-endpoint.mediapackage.us-east-1.amazonaws.com',
            Id: 'NewMediaPackageOrigin',
            CustomOriginConfig: {
              OriginProtocolPolicy: 'https-only',
              HTTPPort: 80,
              HTTPSPort: 443
            }
          }
        ]
      },
      CacheBehaviors: {
        Quantity: 2, // 现有数量+1
        Items: [
          /* 粘贴现有缓存行为配置 */,
          // 新增缓存行为
          {
            PathPattern: '/new-stream/*',
            TargetOriginId: 'NewMediaPackageOrigin',
            ViewerProtocolPolicy: 'redirect-to-https',
            DefaultTTL: 300
          }
        ]
      }
    }
  },
  physicalResourceId: { id: `CloudFrontUpdate-${Date.now()}` }
};

// 创建自定义资源执行更新
new CustomResource(scope, 'UpdateCloudFrontDistribution', {
  serviceToken: CustomResourceProvider.getOrCreate(scope, 'Custom::CloudFrontUpdater', {
    policyStatements: [
      new PolicyStatement({
        actions: ['cloudfront:GetDistribution', 'cloudfront:UpdateDistribution'],
        resources: [`arn:aws:cloudfront::${Aws.ACCOUNT_ID}:distribution/E33333B`]
      })
    ],
    onCreate: updateDistCall,
    onUpdate: updateDistCall
  })
});

说明：此方式需先获取现有分发的ETag和配置，避免覆盖原有设置，适合快速添加少量资源的场景。

内容的提问来源于stack exchange，提问作者Ajay