如何将外置创建的AWS Secrets导入现有CloudFormation栈而不新建资源

实现可行性 #

完全可以通过AWS CLI执行CloudFormation原生资源导入功能实现该需求，导入过程不会生成新的Secret资源，原有Secret的所有配置、加密值、ARN均不会发生变化。

操作步骤 #

• 步骤1：修改现有CloudFormation栈模板
  在模板中添加对应现有Secret的资源定义，必须配置DeletionPolicy: Retain（资源导入的强制要求），资源的Name属性需与你现有Secret的实际名称完全一致，示例模板片段如下：

  Resources:
    YourExistingSecretLogicalID: # 自定义的逻辑资源名
      Type: AWS::SecretsManager::Secret
      DeletionPolicy: Retain
      Properties:
        Name: "your-existing-secret-name" # 替换为实际现有Secret的名称
        # 其他属性需与现有Secret配置完全一致，比如描述、标签、加密密钥等
  

• 步骤2：编写资源导入标识文件
  新建名为import-resources.json的文件，用于匹配现有资源与模板中逻辑资源的对应关系，示例内容如下：

  [
    {
      "ResourceType": "AWS::SecretsManager::Secret",
      "LogicalResourceId": "YourExistingSecretLogicalID",
      "ResourceIdentifier": {
        "Name": "your-existing-secret-name"
      }
    }
    // 多Secret可在数组中添加更多对应条目
  ]
  

• 步骤3：执行CLI导入命令
  运行如下CLI命令触发栈资源导入：

  aws cloudformation import-stack-resources \
    --stack-name <你的现有CloudFormation栈名称> \
    --template-body file://<修改后的模板文件本地路径> \
    --resources-to-import file://import-resources.json
  

  若模板存放在S3中，可将--template-body替换为--template-url <S3模板访问地址>。
• 步骤4：验证导入结果
  执行如下命令确认资源导入成功：

  aws cloudformation describe-stack-resources \
    --stack-name <你的现有CloudFormation栈名称> \
    --logical-resource-id YourExistingSecretLogicalID
  

  当返回结果中StackResourceStatus字段值为IMPORT_COMPLETE时即代表导入完成。

注意事项 #

• 导入前请勿修改现有Secret的任何配置，避免模板属性与实际资源属性不匹配导致导入失败
• 导入完成后可运行漂移检测校验资源配置一致性，确认无配置差异
• 若后续不需要CloudFormation管理Secret的生命周期，可保留DeletionPolicy: Retain配置，避免栈删除时联动删除Secret

内容的提问来源于stack exchange，提问作者curious_coder