为何通过.fromIdentityPoolArn/.fromIdentityPoolId导入现有IdentityPool后无法访问authenticatedUserRole和unauthenticatedUserRole属性？

这是个很常见的CDK资源导入问题，我来给你拆解清楚：

核心原因 #

当你用fromIdentityPoolArn或fromIdentityPoolId导入已有IdentityPool时，CDK创建的只是一个只读的资源引用，而非完整的资源对象。

具体来说：

• 新建IdentityPool时，你得到的是IdentityPool类的实例，这个类包含了资源的所有配置属性（包括关联的角色），因为这些信息是你在代码里定义的，CDK完全知晓。
• 而静态导入方法返回的是IIdentityPool接口的实例，这个接口只暴露了最基础的标识信息（比如ARN、ID）。CDK不会主动去调用AWS API拉取现有资源的完整配置（比如关联的角色），因为这会引入部署时的外部依赖，降低部署的确定性和可靠性。

解决方法 #

根据你的需求，有几种可行的方案：

方案1：直接导入已知的角色（最推荐）

如果你已经知道认证/未认证角色的ARN，可以用Role.fromRoleArn直接导入这些角色，然后填入AppSync的配置：

// 导入现有角色
const authenticatedRole = Role.fromRoleArn(this, 'ImportedAuthRole', 'arn:aws:iam::123456789012:role/your-authenticated-role');
const unauthenticatedRole = Role.fromRoleArn(this, 'ImportedUnauthRole', 'arn:aws:iam::123456789012:role/your-unauthenticated-role');

// 导入现有IdentityPool
const idPool = IdentityPool.fromIdentityPoolArn(this, 'importedIdentityPool', 'arn...');

// 配置AppSync API
new GraphqlApi(this, 'MyAppSyncApi', {
  // 其他必要配置（比如name、schema等）
  identityPoolConfig: {
    identityPoolId: idPool.identityPoolId,
    authenticatedUserRole: authenticatedRole,
    unauthenticatedUserRole: unauthenticatedUserRole,
  },
});

方案2：通过自定义资源动态获取角色（复杂场景）

如果角色信息无法提前知晓，你可以用CDK的自定义资源（Custom Resource）调用AWS SDK的CognitoIdentity服务，获取IdentityPool关联的角色信息。不过这种方式会增加代码复杂度，仅建议在特殊场景下使用。

方案3：复用CDK导出的资源信息（适用于同源CDK资源）

如果这个IdentityPool原本是用CDK创建的，你可以在原Stack中将IdentityPool的ID、认证/未认证角色的ARN都设为Stack输出，然后在当前Stack中通过输出导入的方式获取这些值，再转换为对应的资源引用。

备注：内容来源于stack exchange，提问作者D.Schall