CloudFormation多环境部署RDS时安全组ID解析失败求助

你遇到的核心问题是：!FindInMap返回的是安全组的逻辑资源名称（比如VaultSecurityGroupInEnv1），而你用!Sub只是把这个字符串原样输出，但RDS的VPCSecurityGroups参数需要的是安全组的ID值，不是资源名称字符串。CloudFormation不会自动把字符串解析为资源引用，所以才会出现无效安全组的错误。

正确的解决方案：直接用!Ref嵌套!FindInMap #

因为对于AWS::EC2::SecurityGroup资源，!Ref会直接返回它的GroupId（也就是RDS需要的安全组ID）。你不需要用!Sub，直接把!FindInMap的结果传给!Ref即可：

Resources:
  MasterDB:
    Type: AWS::RDS::DBInstance
    Properties:
      VPCSecurityGroups:
        - !ImportValue DbSgId
        - !Ref 
          !FindInMap
            - RegionMap
            - !Ref Environment
            - VaultSG

或者用更紧凑的短格式写法：

VPCSecurityGroups:
  - !ImportValue DbSgId
  - !Ref !FindInMap [RegionMap, !Ref Environment, VaultSG]

为什么这个方法可行？ #

1. !FindInMap [RegionMap, !Ref Environment, VaultSG]会根据当前环境参数，返回对应的安全组逻辑名称（比如环境1返回VaultSecurityGroupInEnv1）。
2. !Ref会把这个逻辑名称解析为实际创建的安全组资源，返回它的GroupId（这正是RDS需要的有效值）。
3. 你已经通过Condition确保了只有当前环境对应的安全组会被创建，所以!Ref不会引用到不存在的资源，不会出现依赖错误。

额外说明：如果需要复杂字符串拼接的场景 #

如果未来你需要结合资源ID和其他字符串做拼接（比如在其他参数中），可以用!Sub结合!GetAtt或者!Ref，比如：

# 示例：拼接安全组ID到某个字符串中
SomeParameter:
  !Sub "sg-${!GetAtt [!FindInMap [RegionMap, !Ref Environment, VaultSG], GroupId]}"

不过在你的RDS安全组场景中，不需要这么复杂，直接用!Ref嵌套!FindInMap就足够了。

内容的提问来源于stack exchange，提问作者Karos