CloudFormation中如何引用已存在的SecurityGroup安全组资源

同一AWS账号同一区域下，EC2安全组名称在对应VPC内唯一，你在两个不同CloudFormation栈中声明了同一个GroupName: vpce-asm的安全组资源，因此重复创建触发报错。不需要在当前栈重复创建该资源，直接引用已有栈的安全组即可，有两种常用方案：

步骤1：更新已有安全组的旧栈模板，导出安全组ID #

在旧栈模板中新增Outputs段，将安全组ID全局导出：

AWSTemplateFormatVersion: "2010-09-09"
Resources:
  VPCESecurityGroup:
    Type: AWS::EC2::SecurityGroup
    Properties: 
      GroupDescription: "Security group for VPCE ASM"
      GroupName: "vpce-asm"
      VpcId: '{{resolve:ssm:/app/network/VPCId:1}}'
# 新增以下导出配置
Outputs:
  VPCESecurityGroupId:
    Description: VPCE ASM安全组ID
    Value: !Ref VPCESecurityGroup
    Export:
      Name: vpce-asm-sg-id # 导出名需保证同账号同区域全局唯一

更新旧栈使导出配置生效。

步骤2：修改当前报错的栈模板 #

删除当前模板中VPCESecurityGroup资源的定义，直接用!ImportValue导入旧栈导出的安全组ID：

AWSTemplateFormatVersion: "2010-09-09"
Resources:
  # 移除原有的VPCESecurityGroup资源声明，无需重复创建
  SSMCMKMSKParam:
    Type: AWS::SSM::Parameter
    Properties:
      Name: /app/network/MSK-ASMsg
      Description: SSM parameter consumed by a CloudFormation template for Apache MSK Spoke.
      Type: String
      Value: !ImportValue vpce-asm-sg-id # 直接引用其他栈导出的安全组ID

步骤1：将已有安全组ID写入SSM参数 #

先查询vpce-asm安全组的ID，执行AWS CLI命令写入参数存储：

aws ssm put-parameter --name /app/network/VPCE-ASM-SG-ID --type String --value <替换为实际安全组ID> --overwrite

步骤2：修改当前报错的栈模板 #

直接读取SSM中存储的安全组ID即可：

AWSTemplateFormatVersion: "2010-09-09"
Resources:
  SSMCMKMSKParam:
    Type: AWS::SSM::Parameter
    Properties:
      Name: /app/network/MSK-ASMsg
      Description: SSM parameter consumed by a CloudFormation template for Apache MSK Spoke.
      Type: String
      Value: '{{resolve:ssm:/app/network/VPCE-ASM-SG-ID:1}}'

• 采用跨栈导出方案时，需要先删除导入导出值的新栈，才能正常删除导出值的旧栈
• 安全组名称仅在同VPC下唯一，如果涉及多VPC场景，优先用安全组ID作为唯一标识

内容的提问来源于stack exchange，提问作者ca9163d9