使用CDK创建VPC后能否修改默认子网配置以删除NAT网关？

解决方案 #

最优方案：直接关闭NAT网关配置（无需修改子网定义） #

你不需要修改原有子网配置，只需要在原有VPC初始化代码中增加natGateways: 0参数即可，CDK会自动删除配套的NAT网关，不会触发子网的删除/新建操作，完全避免名称冲突：

vpc = new Vpc(theStack, vpcName,
    VpcProps.builder()
        .cidr("10.0.0.0/16")
        .natGateways(0) // 新增这一行即可
        .build());

执行cdk diff确认变更内容，只会显示NAT网关、弹性IP等相关资源被删除，无子网变更。

方案二：对齐子网逻辑ID适配修改后的配置 #

如果你确实需要将原有私有子网改为ISOLATED类型，可以通过对齐逻辑ID的方式让CloudFormation识别为修改现有资源：

1. 首先打开CloudFormation控制台，查看当前堆栈的资源列表，找到原有3个私有子网对应的逻辑ID，默认格式一般为{Vpc构造ID}/PrivateSubnet{可用区序号}，比如MyVpc/PrivateSubnet1
2. 在CDK中定义完子网后，主动覆盖子网的逻辑ID为查询到的旧ID：

// 定义完VPC后获取所有ISOLATED子网列表
List<ISubnet> isolatedSubnets = vpc.getIsolatedSubnets();
// 依次覆盖逻辑ID和原有子网对齐
isolatedSubnets.get(0).getNode().getDefaultChild().overrideLogicalId("原有PrivateSubnet1的逻辑ID");
isolatedSubnets.get(1).getNode().getDefaultChild().overrideLogicalId("原有PrivateSubnet2的逻辑ID");
isolatedSubnets.get(2).getNode().getDefaultChild().overrideLogicalId("原有PrivateSubnet3的逻辑ID");

3. 执行cdk diff确认变更内容，无子网的新增/删除操作后再执行部署。

注意事项 #

• 操作前务必先执行cdk diff校验变更，若输出显示需要删除原有子网、新增新子网，说明逻辑ID未对齐，不要直接部署，避免影响子网内运行的资源。
• 改为ISOLATED类型后，子网内资源将无法访问公网，也无法被公网访问，请确认业务适配后再操作。

内容的提问来源于stack exchange，提问作者Jörgen Lundberg