通过AWS控制台删除CDK应用的冗余日志组是否存在安全风险？

核心结论 #

直接删除是否有风险，取决于冗余日志组是否被纳入CDK对应的CloudFormation栈的资源管理范围： #

风险场景（不建议直接删除） #

• 若日志组是你在CDK代码中通过aws_cdk.aws_logs.LogGroup显式定义的资源，且未设置RemovalPolicy.RETAIN保留策略：手动删除后下次执行cdk deploy会直接报错，CloudFormation会检测到预期存在的资源被意外移除，导致栈状态异常无法正常同步
• 若日志组已经被CDK代码中的其他资源（比如Lambda函数、ECS任务定义）通过ARN、名称关联引用：手动删除后即使日志组本身没有被显式定义，相关依赖它的资源部署也会失败

安全场景（可直接删除） #

• 日志组是AWS服务（如Lambda、API Gateway）运行时自动生成的，没有关联任何CloudFormation栈标签（可通过日志组的aws:cloudformation:stack-name标签判断）
• 对应的CDK栈已经被销毁，日志组是当初设置了保留策略才残留下来的冗余资源

最优操作建议 #

• 删除前先在CloudWatch日志组详情页查看标签，确认没有关联CDK管理的栈资源再操作
• 要是确认是CDK栈管理的冗余日志组，优先修改CDK代码移除对应声明，执行cdk deploy由CloudFormation自动清理，避免出现栈漂移问题
• 若已经误删CDK管理的日志组，可执行cdk drift detect检测漂移后，按提示修复栈状态即可

内容的提问来源于stack exchange，提问作者sak18