如何防止CloudFormation更新时移除CloudFront的Lambda Edge关联？

这个问题我之前也踩过坑，核心根源是CloudFormation的声明式特性——它会始终让实际资源状态和你的模板定义保持对齐。如果模板里没明确写出Lambda@Edge的关联配置，哪怕你手动添加过，CFN在更新时（尤其是资源状态同步完成后）就会把这些"额外"的关联移除；偶现的情况大概率是CFN的状态同步延迟或者更新时的资源校验时机差异导致的。

下面是具体的解决方法，按优先级排序：

1. 把Lambda@Edge关联完全写入CloudFormation模板 #

这是最根本的解决方案，让CFN接管所有你需要保留的配置。你需要在CloudFront Distribution的DistributionConfig里添加LambdaFunctionAssociations属性，明确列出所有关联的Lambda函数和触发事件类型。

举个YAML模板的示例片段：

Resources:
  MyCloudFrontDistribution:
    Type: AWS::CloudFront::Distribution
    Properties:
      DistributionConfig:
        # 保留你现有的其他配置，比如默认缓存行为、自定义域名等
        ViewerCertificate:
          AcmCertificateArn: !Ref UpdatedCertificateArn # 你要更新的证书ARN
        # 新增/保留Lambda@Edge关联配置
        LambdaFunctionAssociations:
          - EventType: viewer-request
            LambdaFunctionARN: !GetAtt MyLambdaEdgeFunction.Version.Arn # 必须关联具体版本，不能用$LATEST
          - EventType: origin-response
            LambdaFunctionARN: arn:aws:lambda:us-east-1:123456789012:function:my-edge-function:v2 # 或者直接写完整的版本ARN

注意：Lambda@Edge要求关联的是函数的具体版本ARN（不能用$LATEST），而且函数必须部署在us-east-1区域，这些细节要在模板里严格体现。

2. 导入已存在的手动关联到CFN管理 #

如果你已经手动添加了Lambda@Edge关联，现在需要把它们纳入CFN的管控：

• 先通过AWS控制台或CLI（aws cloudfront get-distribution --id <distro-id>）获取当前分发的所有Lambda关联配置；
• 把这些配置准确复制到你的CFN模板的LambdaFunctionAssociations中；
• 执行一次CloudFormation更新（比如更新证书ARN），这次更新CFN会对比模板和实际状态，确认关联已存在后不会做变更，但之后这些关联就完全由CFN管理了，后续更新不会再被意外移除。

3. 避免模板配置不全导致的意外重置 #

更新CloudFront分发时，要确保模板里的DistributionConfig包含所有你需要保留的非默认配置——CFN对于CloudFront资源，会将模板中未定义的属性重置为默认值（除非是只读属性）。所以不要只写你要更新的部分（比如证书ARN），要保留完整的分发配置（包括Lambda关联、缓存行为等）。

如果担心模板太复杂，可以先用aws cloudformation get-template --stack-name <your-stack-name>导出当前栈的模板，再在这个基础上修改需要更新的内容，这样能确保所有现有配置都被保留。

4. 排查偶现问题的深层原因 #

如果之前偶发的移除让你困惑，可能的诱因包括：

• CFN状态同步延迟：手动添加关联后，CFN的资源状态存储可能需要几分钟才能同步，这时候更新可能会误判为"额外配置"而移除；
• Lambda版本问题：如果手动关联的是$LATEST版本，CFN无法识别这个动态版本，会认为没有关联配置，从而移除；
• 更新操作的差异：某些更新（比如修改缓存行为）会触发CFN对分发做全面校验，而有些轻量更新（比如修改标签）可能校验力度较弱，导致偶现的不一致。

内容的提问来源于stack exchange，提问作者Yves M.