如何在AWS Proton模板中使用CloudFormation动态引用及排查问题

可以直接使用，但需要对动态引用的双大括号语法做Jinja转义处理。
AWS Proton默认使用Jinja作为模板渲染引擎，会优先解析所有{{}}包裹的内容为Proton内置变量，如果直接写入CloudFormation动态引用的{{resolve:...}}语法，会被Jinja提前解析，导致最终输出的CloudFormation模板语法错误。

常见的转义方式有两种：

1. 字符串包裹转义：把动态引用整体作为Jinja字符串输出，示例如下：

MasterUsername:
  Fn::Join:
    - ""
    - - "{{ '{{resolve:secretsmanager:' }}"
      - Ref: DBCredentialsSecret
      - "{{ ':SecretString:username::}}' }}"

2. 块级转义：如果有整段不需要Proton解析的内容，可以用{% raw %}和{% endraw %}标签包裹，包裹范围内的所有{{}}语法都会原样保留：

{% raw %}
MasterUserPassword:
  Fn::Join:
    - ""
    - - "{{resolve:secretsmanager:"
      - Ref: DBCredentialsSecret
      - ":SecretString:password::}}"
{% endraw %}

如果模板部署出现异常，可以按照以下步骤逐层定位问题：

• 先校验Proton模板渲染结果：通过Proton控制台的模板预览功能，或者调用AWS CLI的render-template接口，获取Proton渲染完成后的完整CloudFormation模板，首先确认动态引用的{{}}语法是否被正确保留，有没有被Jinja错误解析为空值、错误变量值。
• 查看CloudFormation栈事件日志：如果渲染后的模板格式正确，直接查看对应部署任务关联的CloudFormation栈的事件列表，筛选失败级别的事件，事件详情会直接返回具体报错原因，比如动态引用的资源不存在、权限不足、格式错误等。
• 校验角色权限配置：确认Proton服务角色、CloudFormation执行角色拥有对应动态引用资源的访问权限，比如引用Secrets Manager密钥时，角色需要被授予secretsmanager:GetSecretValue的对应资源权限。
• 检查动态引用格式：确认动态引用的服务标识、资源路径、参数字段拼写正确，没有缺漏必要的分隔符、版本标记等内容。

内容的提问来源于stack exchange，提问作者gnitsua