AWS CDK如何为已有DynamoDB启用Stream并配置灾备防误删

首先要明确CDK的核心设计逻辑：通过fromTableArn导入的现有表是纯只读引用，没有对表的配置控制权，所有对这张表的属性变更、保护配置、灾备配置，都不能通过这个引用的方法调用实现，必须通过对应资源的托管式声明来完成变更。

1. 为现有DynamoDB启用Stream的两种落地方式 #

• 方式一：低侵入、不纳入CDK全量托管的临时方案
  先用控制台、AWS CLI给现有表手动开启Stream配置，拿到对应的Stream ARN后，在CDK里通过带Stream属性的导入方法重新引用表，就可以正常调用grantStreamRead这类和Stream相关的方法了，代码示例：

  const sandpitTable = dynamodb.Table.fromTableAttributes(this, 'sandpitTable', {
    tableArn: 'arn:aws:dynamodb:ap-southeast-2:xxxxxxxxxxxxxx:table/Sandpit',
    // 填入手动开启Stream后生成的实际Stream ARN
    tableStreamArn: 'arn:aws:dynamodb:ap-southeast-2:xxxxxxxxxxxxxx:table/Sandpit/stream/2024-05-20T00:00:00.000'
  });
  // 这一步就可以正常执行授权了，不会因为缺少Stream属性报错
  sandpitTable.grantStreamRead(streamLambda);
  

  这个方案的好处是不需要把整张表的配置全部迁到CDK托管，变更风险极低，适合不想动现有表托管关系的场景。
• 方式二：纳入CDK托管、由CDK自动完成Stream配置变更
  把现有表的全量已知属性通过CfnTable类在CDK中声明，CloudFormation会自动识别这张已经存在的表，只做差异变更，不会重建表，直接在声明里加Stream配置即可完成开启操作，代码示例：

  // 注意：必须把现有表的所有生产属性和声明保持完全一致，否则会触发非预期的配置漂移
  const sandpitManagedTable = new dynamodb.CfnTable(this, 'sandpitTableManaged', {
    tableName: 'Sandpit',
    keySchema: [
      { attributeName: 'id', keyType: 'HASH' } // 与现有表主键完全一致
    ],
    attributeDefinitions: [
      { attributeName: 'id', attributeType: 'N' } // 与现有表主键的属性类型完全一致
    ],
    billingMode: 'PAY_PER_REQUEST', // 与现有表现有计费模式完全一致，避免计费突变
    // 直接配置Stream，CDK部署时会自动检测差异并开启Stream
    streamSpecification: {
      streamEnabled: true,
      streamViewType: 'NEW_AND_OLD_IMAGES'
    }
  });
  

2. 灾备能力的配置 #

所有灾备配置都需要在被CDK托管的表声明中添加，导入的只读引用不支持修改灾备属性：

• 单区域灾备（时间点恢复PITR）：在表的属性里加pointInTimeRecoverySpecification: { pointInTimeRecoveryEnabled: true }，开启后最长支持35天的任意时间点数据恢复，能覆盖误删、误写操作导致的数据丢失场景。
• 跨区域灾备（全局复制）：在表的属性里加replicationGroup: [{ region: 'ap-southeast-1' }]，CDK会自动创建对应区域的全局表复制关系，实现跨区域容灾。

3. 防止表被意外删除的能力 #

控制台提供的防删除保护是两层防护的组合，对应的CDK实现也需要双层配置，比单纯的栈级保护更可靠：

• 第一层：DynamoDB原生删除保护，对应表属性deletionProtectionEnabled: true，开启后无论通过控制台、CLI还是API，只要没有主动关闭这个开关，都无法执行删表操作，和控制台勾选的「防止删除」效果完全一致。
• 第二层：CDK栈级的资源保留配置，给表资源设置removalPolicy: RemovalPolicy.RETAIN，哪怕后续不小心把表从CDK栈里移除，栈销毁流程也只会解绑资源关联，不会真的删除底层的DynamoDB表。

注意：只有被CDK托管的表才能配置这两层保护，通过fromTableArn导入的外部只读引用没有配置权限，必须先把表纳入CDK的托管范围才能开启。

• 不要尝试在fromTableArn返回的对象上修改任何属性、调用配置类方法，这个对象是纯指针引用，不会生成任何CloudFormation变更，操作完全无效。
• 把现有表纳入CDK托管前，一定要先核对现有表的所有配置（二级索引、计费模式、标签、现有PITR状态），避免CDK部署时因为配置漂移覆盖现有生产设置。
• 开启Stream时要选对StreamViewType，匹配下游Lambda的消费逻辑，避免上线后还要二次调整Stream配置。

内容的提问来源于stack exchange，提问作者monkey