如何在AWS CFT参数中实现下拉选择同账号可用AWS KMS密钥

CloudFormation 原生确实没有命名为aws:kms:key的参数类型，但完全可以实现同账号下可用KMS密钥下拉选择的效果，以下是可直接落地的方案：

• 方案1：使用官方提供的KMS专属AWS参数类型
  直接把对应参数的类型设置为AWS::KMS::Key::Arn（需要密钥ARN时用）或者AWS::KMS::Key::KeyId（需要密钥ID时用）即可，这两个是CloudFormation正式支持的特定资源参数类型。通过控制台部署模板时，控制台会自动拉取当前账号、当前部署区域下，当前登录身份拥有kms:DescribeKey权限的所有可用KMS密钥，自动渲染为下拉选择列表。

  踩坑提示：如果部署时看到的是普通文本输入框而不是下拉列表，先检查当前登录的IAM身份是否有kms:ListKeys、kms:DescribeKey权限，权限不足时控制台拉取不到密钥列表，会自动降级为文本输入模式。
  最简参数配置示例：

  Parameters:
    TargetKmsKey:
      Type: AWS::KMS::Key::Arn
      Description: 从下拉列表选择需要使用的KMS密钥
  

• 方案2：用CloudFormation Macro实现自定义过滤的下拉选择
  如果你有自定义过滤需求——比如只展示客户自主管理的密钥、只展示带特定别名前缀的密钥、排除已禁用/待删除状态的密钥，可以写一个轻量CloudFormation宏。宏会在模板部署的转换阶段自动运行，调用KMS接口拉取符合你设定规则的密钥列表，自动填充到对应参数的AllowedValues字段中，控制台读取到AllowedValues配置就会自动渲染下拉框。
  宏的核心逻辑很简单，只需要三步：

  1. 获取当前模板部署的账号、区域上下文
  2. 调用KMS的ListKeys、DescribeKey接口拉取密钥，按规则过滤出符合要求的条目
  3. 把过滤后的密钥ID/ARN写入对应参数的AllowedValues属性，返回转换后的模板即可

• 方案3：注册CloudFormation Registry自定义类型实现多模板复用
  如果你需要在多个模板里复用KMS密钥选择能力，可以开发一个轻量的CloudFormation扩展类型，把KMS密钥拉取、过滤的逻辑封装在类型里，注册到账号的CloudFormation Registry之后，所有模板都可以直接把参数类型设置为这个自定义类型，控制台会自动渲染下拉选择框，不需要每个模板单独绑定宏。

补充说明 #

• 以上所有方案默认拉取的是当前部署区域的KMS密钥，如果需要选择其他区域的密钥，在拉取密钥的逻辑里指定对应区域调用KMS接口即可
• 如果是通过CLI、SDK等非控制台渠道部署模板，不会触发下拉渲染，直接传入合法的密钥ID/ARN即可正常部署
• 不要把账号根密钥加入可选列表，根密钥不支持绝大多数服务端加密场景

内容的提问来源于stack exchange，提问作者Viks