AWS CDK v2(Python)使用Fn.condition_if结合ENUM枚举值报错排查

这个报错和代码笔误无关，核心是混淆了CDK两个运行阶段的执行逻辑：

• 合成阶段（本地执行cdk synth/cdk deploy时首先运行）：CDK会遍历所有构造资源、做强类型校验、最终生成CloudFormation模板。removal_policy这类L2构造的属性，在这个阶段就要求传入明确的RemovalPolicy枚举值，用于确定后续模板生成规则。
• 部署阶段（CloudFormation服务端执行）：只有这个阶段才会解析Fn::If这类CloudFormation固有函数、计算条件结果、实际创建更新资源。

你代码里Fn.condition_if返回的是CloudFormation固有函数的引用标记（也就是报错里提到的Intrinsic对象），属于部署阶段才能确定值的动态对象，根本没法通过合成阶段的枚举类型校验，不是CDK不支持条件化配置删除策略，是API用错了层级。

不要直接给L2构造的removal_policy属性传固有函数返回值，L2构造的这类属性是CDK逻辑层的配置，不会直接透传到CloudFormation模板。正确做法是拿到L2构造对应的底层L1 CloudFormation原生资源实例，直接给L1实例的deletion_policy、update_replace_policy属性传条件函数，这两个属性会直接透传到最终模板，支持固有函数值。

修正后的代码如下：

param_enableDeletionProtection = CfnParameter(self, "EnableDeletionProtection", 
    type="String",
    allowed_values=['True','False'],
    description="Whether critical services (like RDS) get provisioned with deletion protection or not"
)
condition_enable_deletion_protection = CfnCondition(self, "DeletionProtectionEnabled",
    expression=Fn.condition_equals(param_enableDeletionProtection.value_as_string, 'True')
)

# 先初始化L2 Bucket构造
s3_bucket = s3.Bucket(self, "MyBucket",
    bucket_name="my-bucket-name",
    removal_policy=RemovalPolicy.DESTROY
)
# 取出底层L1 CfnBucket实例
cfn_bucket = s3_bucket.node.default_child
# 直接给L1资源的删除策略、替换策略绑定条件逻辑
cfn_bucket.deletion_policy = Fn.condition_if(
    condition_enable_deletion_protection.logical_id,
    "Retain",
    "Delete"
)
cfn_bucket.update_replace_policy = Fn.condition_if(
    condition_enable_deletion_protection.logical_id,
    "Retain",
    "Delete"
)

注意事项 #

• 给L1资源传策略值时不要用CDK的RemovalPolicy枚举，要传CloudFormation原生支持的字符串值：Retain对应删除保护/保留资源，Delete对应随栈删除资源，语义和枚举完全一致。
• 这种写法对RDS、DynamoDB等所有需要条件化配置删除策略的资源都通用，只要拿到对应资源的L1实例即可。

内容的提问来源于stack exchange，提问作者Dcoder