为什么为资源添加标签时CloudFormation会触发资源替换？

核心结论 #

跨IaC工具协同更新CloudFormation管控资源的标签，确实可能在部分资源类型上触发意外资源替换，安全组是典型的受影响资源，和操作本身无关，根源来自CloudFormation的状态管理逻辑和资源属性定义。

具体原因 #

• 正常情况下，仅新增标签属于CloudFormation的无中断更新操作，触发替换的前置条件是资源出现标签漂移：其他团队用Terraform添加的通用标签未在CloudFormation模板中声明，CloudFormation执行更新时会将这部分标签视为非预期属性，需要执行修正。
• 安全组（AWS::EC2::SecurityGroup）的历史schema问题：早期版本的CloudFormation安全组资源定义中，标签属性属于需中断更新的属性，当CloudFormation需要移除模板未声明的外部标签时，会被判定为需要替换资源才能完成更新。该问题在新版安全组资源schema中已修复，若你的Stack未启用最新资源类型、或开启了严格漂移自动修正，仍然会复现该异常。

可行规避方案 #

• 在CloudFormation模板的安全组资源配置中添加UpdateReplacePolicy: Retain，即便更新逻辑判定需要替换资源，也会保留原有资源，避免业务中断。
• 调整CloudFormation Stack的标签管理配置：开启模板外标签保留能力，CloudFormation执行更新时不会主动删除未在模板中声明的标签，从根源避免标签漂移导致的更新逻辑变更。
• 跨团队统一标签规则：将Terraform侧添加的通用标签同步写入CloudFormation模板的标签配置中，消除两边配置的差异，避免出现状态漂移。

内容的提问来源于stack exchange，提问作者wizun