CloudFormation StackSet重部署失败：提示角色已存在但实际未找到

这种情况我在处理客户StackSet部署时碰到过好几次，大概率是以下几个原因之一，你可以逐个排查：

1. IAM角色处于删除延迟状态 #

AWS IAM角色删除后默认有7天的恢复窗口期（最短可设置为1天），这段时间内你在控制台搜不到角色，但CloudFormation依然能检测到它的ARN存在。

你可以在子账户里用AWS CLI验证：

# 先尝试列出匹配的角色
aws iam list-roles --query "Roles[?RoleName=='YOUR_TARGET_ROLE_NAME']"

# 如果上面返回空，尝试直接获取角色信息
aws iam get-role --role-name YOUR_TARGET_ROLE_NAME

如果返回提示“角色处于删除中”，那就是这个问题了。要么等延迟期结束，要么用以下命令强制删除（需要对应权限）：

aws iam delete-role --role-name YOUR_TARGET_ROLE_NAME --override-deletion-delay

2. StackSet残留的栈实例元数据 #

有时候即使你删除了所有栈和StackSet，主账户的StackSet可能还残留着某个子账户的栈实例记录，导致部署时误判资源存在。

在主账户执行CLI命令检查：

aws cloudformation list-stack-instances --stack-set-name YOUR_STACKSET_NAME

如果发现目标子账户还有残留的实例条目，用以下命令清理：

aws cloudformation delete-stack-instances \
  --stack-set-name YOUR_STACKSET_NAME \
  --accounts YOUR_SUB_ACCOUNT_ID \
  --regions YOUR_DEPLOY_REGION \
  --no-retain-stacks

3. 资源名称大小写匹配问题 #

IAM角色名本身不区分大小写，但控制台的搜索功能有时候会严格匹配大小写。比如你在控制台搜MyStackRole，但实际残留的角色是mystackrole，就会找不到。

试试用CLI做不区分大小写的查询：

aws iam list-roles --query "Roles[?contains(to_lower(RoleName), 'your_role_name_in_lowercase')]"

说不定能找到你漏看的角色。

4. Python删除脚本未处理异常场景 #

你的Python脚本可能没覆盖到某些异常情况，比如子账户里的栈处于DELETE_FAILED状态，导致StackSet删除时跳过了这个实例。

去主账户的CloudFormation控制台，查看目标StackSet的操作历史记录，看看有没有删除失败的条目。如果有，先手动清理子账户里的失败栈：

aws cloudformation delete-stack --stack-name YOUR_FAILED_STACK_NAME --region YOUR_REGION

之后再清理StackSet的残留实例。

5. 跨区域栈实例残留 #

如果你的StackSet是跨多区域部署的，可能你只在某个区域检查了资源，但残留的栈实例在其他区域。

可以用CLI遍历所有区域检查栈实例：

for region in $(aws ec2 describe-regions --query "Regions[].RegionName" --output text); do
  echo "Checking region $region for stack instances..."
  aws cloudformation list-stack-instances --stack-set-name YOUR_STACKSET_NAME --region $region
done

找到残留的区域后，按前面的方法删除对应实例即可。

内容的提问来源于stack exchange，提问作者Idris.AH