CloudFormation栈发生漂移时更新DeletionPolicy的可行方案咨询

你观察到的修改DeletionPolicy不触发漂移资源更新的现象是CloudFormation的默认稳定行为，并非偶然故障：DeletionPolicy、UpdateReplacePolicy属于栈层面的控制元属性，不属于资源本身的配置字段，修改这类属性不会触发资源的实际更新操作，自然也不会触发漂移修复，即使对应资源已经处于漂移状态也不受影响。

1. 变更前双重校验避免误操作 #

• 执行任何模板修改前，先运行栈漂移检测，导出漂移资源清单，确认当前调整仅涉及DeletionPolicy这类元属性，没有包含漂移资源的配置变更
• 执行更新前生成变更集并关闭自动执行，检查变更集的资源操作列表，仅当所有资源的操作类型为「None」且仅显示元属性变更时再执行更新，如果出现「Modify」「Replace」类操作，说明变更包含了资源配置修改，会触发漂移修复，需回退模板调整内容

2. 精细化栈策略拦截异常操作 #

你之前考虑的栈策略方案可以优化为仅允许元属性修改，禁止所有资源配置变更，参考配置如下：

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["Update:Modify"],
      "Principal": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "cloudformation:ResourceAction": "UpdateMetadata"
        }
      }
    },
    {
      "Effect": "Deny",
      "Action": ["Update:Modify", "Update:Replace", "Update:Delete"],
      "Principal": "*",
      "Resource": "*"
    }
  ]
}

该策略仅允许修改DeletionPolicy、栈标签、资源元数据这类不涉及资源实际配置的操作，所有会触发资源变更的操作都会被直接拒绝，完全避免误触发漂移修复的情况。

3. 资源迁移场景专用方案 #

如果是跨栈迁移资源的场景，除了直接添加DeletionPolicy:Retain外，还可以配合资源导入功能实现无变更迁移：先在旧栈为目标资源添加Retain策略后删除旧栈（资源不会被实际删除），再在新栈使用资源导入功能将现有资源纳入新栈管理，整个过程不受资源漂移状态影响，也不会触发任何资源配置变更。

该行为的相关说明分散在CloudFormation官方的变更集、栈策略相关文档中，并非漂移场景下的特殊规则。

内容的提问来源于stack exchange，提问作者kopelitsa