如何在CloudFormation模板中通过参数文件传递CloudFront公钥？

• CloudFront对公钥的格式校验没有容错：AWS::CloudFront::PublicKey的EncodedKey字段必须接收带真实换行符的标准PEM格式公钥，但凡传入用字面\n字符代替换行的单行字符串，都会被识别为无效PEM结构，抛出泛化的Invalid request provided错误，不会给出具体的格式问题提示。
• 转义层级错位：在JSON参数文件里写的\n，本来应该被JSON解析器转换为真实换行，但如果传参经过多层命令行处理、参数二次包装，\n就会变成纯文本的反斜杠+n字符，直接破坏PEM格式结构。
• 模板YAML缩进错位：示例中AWSTemplateFormatVersion是根级键，后续的Parameters、Resources节点如果缩进偏移，会导致YAML解析结构错乱，资源配置没法正确映射到CloudFront的API请求体，触发无效请求错误。
• 参数文件语法不规范：示例的参数数组最后一个元素后面多了尾随逗号，严格模式的JSON解析器会直接解析失败，公钥参数根本没法被正确加载。
• NoEcho: true的排查阻碍：开启该属性后，CloudFormation会把参数值在所有日志、控制台输出中打码，哪怕参数值有转义错误、格式错误，也看不到实际传入的内容，大幅提升排查成本。

• 调整模板YAML结构，保证根级键缩进完全对齐，参考正确结构：

  AWSTemplateFormatVersion: "2010-09-09"
  Parameters:
    MyPublicKey:
      Type: String
      Description: 'Public key for CloudFront signed URLs'
      # 调试阶段先关闭NoEcho，排查通过后再开启
      NoEcho: false
  Resources:
    CloudfrontPublicKey:
      Type: AWS::CloudFront::PublicKey
      Properties:
        PublicKeyConfig:
          # 不要写死固定CallerReference，用栈名拼接减少历史资源冲突
          CallerReference: !Sub "${AWS::StackName}-cloudfront-pubkey"
          Comment: 'Public key for signed url'
          Name: 'cloudfront-public-key'
          EncodedKey: !Ref MyPublicKey
  

• 修正参数文件格式：去掉尾随逗号，保留PEM格式的正确转义，参考示例：

  [
    {
      "ParameterKey": "MyPublicKey",
      "ParameterValue": "-----BEGIN PUBLIC KEY-----\n公钥base64内容第一行\n公钥base64内容第二行\n-----END PUBLIC KEY-----\n"
    }
  ]
  

• 本地提前校验公钥有效性：把最终传入的公钥值生成临时.pem文件，执行openssl rsa -pubin -in 临时文件.pem -text -noout命令，能正常解析输出公钥内容，就说明格式满足要求，反之CloudFront必然校验失败。
• 调试阶段临时关闭NoEcho属性，确认实际传入的公钥内容和本地生成的PEM文件完全一致，栈创建成功后再重新开启该属性。

内容的提问来源于stack exchange，提问作者Utkrist Adhikari