如何在AWS CloudFormation模板中添加确认密码参数？

当然可以实现！虽然AWS CloudFormation没有原生提供「确认密码」的参数类型，但我们可以通过Lambda-backed自定义资源来添加密码一致性验证，确保用户输入的密码和确认密码完全匹配。下面是具体的实现步骤和示例代码：

1. 添加密码和确认密码参数 #

首先在模板的Parameters部分定义两个密码字段，开启NoEcho避免明文显示，并设置长度约束：

Parameters:
  Username:
    Type: String
    Description: 请输入用户名
  Password:
    Type: String
    NoEcho: true
    MinLength: 8
    Description: 请输入密码（至少8个字符）
  ConfirmPassword:
    Type: String
    NoEcho: true
    MinLength: 8
    Description: 请确认密码

2. 创建验证密码的Lambda函数 #

编写一个简单的Lambda函数，用于检查两个密码是否匹配。如果不匹配，就向CloudFormation返回失败状态，触发部署回滚：

import json

def lambda_handler(event, context):
    # 初始化CloudFormation响应结构
    response = {
        'Status': 'SUCCESS',
        'PhysicalResourceId': context.log_stream_name,
        'StackId': event['StackId'],
        'RequestId': event['RequestId'],
        'LogicalResourceId': event['LogicalResourceId']
    }
    
    try:
        # 从资源属性中获取密码和确认密码
        password = event['ResourceProperties']['Password']
        confirm_password = event['ResourceProperties']['ConfirmPassword']
        
        if password != confirm_password:
            raise ValueError("密码与确认密码不匹配")
        
        response['Data'] = {'Message': '密码验证通过'}
    except Exception as e:
        # 验证失败时返回错误信息
        response['Status'] = 'FAILED'
        response['Reason'] = str(e)
    
    return response

3. 在模板中添加自定义资源和Lambda相关资源 #

将Lambda函数和对应的IAM角色添加到CloudFormation模板中，并创建自定义资源来触发密码验证：

Resources:
  # 自定义资源：触发密码验证
  PasswordValidation:
    Type: Custom::PasswordValidation
    Properties:
      ServiceToken: !GetAtt PasswordValidationLambda.Arn
      Password: !Ref Password
      ConfirmPassword: !Ref ConfirmPassword

  # 用于密码验证的Lambda函数
  PasswordValidationLambda:
    Type: AWS::Lambda::Function
    Properties:
      Runtime: python3.12
      Handler: index.lambda_handler
      Code:
        ZipFile: |
          import json

          def lambda_handler(event, context):
              response = {
                  'Status': 'SUCCESS',
                  'PhysicalResourceId': context.log_stream_name,
                  'StackId': event['StackId'],
                  'RequestId': event['RequestId'],
                  'LogicalResourceId': event['LogicalResourceId']
              }
              
              try:
                  password = event['ResourceProperties']['Password']
                  confirm_password = event['ResourceProperties']['ConfirmPassword']
                  
                  if password != confirm_password:
                      raise ValueError("密码与确认密码不匹配")
                  
                  response['Data'] = {'Message': '密码验证通过'}
              except Exception as e:
                  response['Status'] = 'FAILED'
                  response['Reason'] = str(e)
              
              return response
      Role: !GetAtt LambdaExecutionRole.Arn

  # Lambda执行角色：授予必要的日志权限
  LambdaExecutionRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              Service: lambda.amazonaws.com
            Action: sts:AssumeRole
      Policies:
        - PolicyName: LambdaLogAccess
          PolicyDocument:
            Version: '2012-10-17'
            Statement:
              - Effect: Allow
                Action:
                  - logs:CreateLogGroup
                  - logs:CreateLogStream
                  - logs:PutLogEvents
                Resource: arn:aws:logs:*:*:*

• 这种方式会在部署前强制验证密码一致性，如果不匹配，CloudFormation会直接返回部署失败，避免后续资源创建出现问题。
• 如果你只是想在控制台部署时做提示性的确认，可以在参数描述里提醒用户两次输入要一致，但这种方式没有强制验证，可靠性不如Lambda方法。
• 记得始终开启NoEcho: true，确保密码不会在CloudFormation的事件日志或控制台中明文显示。

内容的提问来源于stack exchange，提问作者Vatsal Prakash