防止更新堆栈资源

在创建堆栈时，允许对所有资源执行所有更新操作。默认情况下，具有堆栈更新权限的任何人均可更新堆栈中的所有资源。在更新期间，一些资源可能需要中断或可能已完全替换，这会生成新的物理 ID 或全新的存储。使用堆栈策略可以防止堆栈资源在堆栈更新过程中被意外更新或删除。堆栈策略是一个 JSON 文档，该文档定义可对指定资源执行的更新操作。

设置堆栈策略后，默认情况下将保护堆栈中的所有资源。要允许对特定资源进行更新，您可在堆栈策略中为这些资源指定明确的 Allow 语句。您只能为每个堆栈定义一个堆栈策略，但在一个策略中可以保护多个资源。堆栈策略适用于所有尝试更新堆栈的 CloudFormation 用户。您不能将不同的堆栈策略与不同的用户关联。

堆栈策略仅在堆栈更新过程中适用。与 AWS Identity and Access Management（IAM）策略不同，它不提供访问控制。仅将堆栈策略用作故障保护功能来防止意外更新特定堆栈资源。要控制对 AWS 资源或操作的访问，请使用 IAM。

示例堆栈策略

下面的示例堆栈策略阻止更新 ProductionDatabase 资源：

{
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    },
    {
      "Effect" : "Deny",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "LogicalResourceId/ProductionDatabase"
    }
  ]
}

当您设置堆栈策略时，将默认保护所有资源。为了允许对所有资源进行更新，我们添加了一个 Allow 语句来允许对所有资源执行的所有操作。虽然 Allow 语句指定所有资源，但显式 Deny 语句将为具有 ProductionDatabase 逻辑 ID 的资源覆盖前者。此 Deny 语句阻止对 ProductionDatabase 资源进行的所有更新操作，例如替换或删除。

需要 Principal 元素，但仅支持通配符 (*)，这意味着语句适用于所有委托人。

定义堆栈策略

在创建堆栈时，未设置堆栈策略，因此允许对所有资源执行所有更新操作。要阻止对堆栈资源执行更新操作，可定义一个堆栈策略，然后对堆栈设置该策略。堆栈策略是一个 JSON 文档，用于定义 CloudFormation 用户可以执行的 CloudFormation 堆栈更新操作以及这些操作应用到的资源。在创建堆栈时，可通过指定一个包含堆栈策略的文本文件或键入该策略来设置堆栈策略。在堆栈上设置堆栈策略时，默认情况下会拒绝未显式允许的任何更新。

您可定义一个带 5 个元素的堆栈策略：Effect、Action、Principal、Resource 和 Condition。下面的伪代码显示了堆栈策略语法。

{
  "Statement" : [
    {
      "Effect" : "Deny_or_Allow",
      "Action" : "update_actions",
      "Principal" : "*",
      "Resource" : "LogicalResourceId/resource_logical_ID",
      "Condition" : {
        "StringEquals_or_StringLike" : {
          "ResourceType" : [resource_type, ...]
        }
      }
    }
  ]
}

设置堆栈策略

您可以使用控制台或 AWS CLI 在创建堆栈时应用堆栈策略。您也可以使用 AWS CLI 将堆栈策略应用于现有堆栈。应用堆栈策略后，无法将其从堆栈中删除，但您可以使用 AWS CLI 修改该策略。

堆栈策略适用于所有尝试更新堆栈的 CloudFormation 用户。您不能将不同的堆栈策略与不同的用户关联。

有关如何编写堆栈策略的信息，请参阅定义堆栈策略。

更新受保护资源

要更新受保护的资源，可创建一个覆盖堆栈策略并允许对这些资源进行更新的临时策略。在更新堆栈时指定覆盖策略。覆盖策略不会永久更改堆栈策略。

要更新受保护的资源，您必须有权使用 CloudFormation SetStackPolicy 操作。有关设置 CloudFormation 权限的信息，请参阅使用 AWS Identity and Access Management 控制 CloudFormation 访问权限。

修改堆栈策略

要保护其他资源或从资源中删除保护，请修改堆栈策略。例如，当您将要保护的数据库添加到堆栈时，会将该数据库的 Deny 语句添加到堆栈策略。要修改策略，您必须有权使用 SetStackPolicy 操作。

使用 AWS CLI 修改堆栈策略。

您无法删除堆栈策略。要从所有资源删除全部保护，您可修改策略以明确允许对所有资源执行全部操作。以下策略允许对所有资源进行全部更新：

{
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}

更多示例堆栈策略

以下示例策略说明如何阻止对所有堆栈资源和特定资源进行更新，并阻止特定类型的更新。

阻止对所有堆栈资源的更新

要阻止对所有堆栈资源的更新，以下策略为所有资源的所有更新操作指定 Deny 语句。

{
  "Statement" : [
    {
      "Effect" : "Deny",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}

阻止对单个资源的更新

以下策略拒绝对带 MyDatabase 逻辑 ID 的数据库执行的所有更新操作。它使用 Allow 语句允许对所有其他堆栈资源进行全部更新操作。Allow 语句不应用于 MyDatabase 资源，因为 Deny 语句始终覆盖允许操作。

{
  "Statement" : [
    {
      "Effect" : "Deny",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "LogicalResourceId/MyDatabase"
    },
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}

您可以使用默认拒绝来获得与上一示例相同的结果。设置堆栈策略时，CloudFormation 会拒绝未显式允许的任何更新。以下策略允许对除 ProductionDatabase 资源 (默认情况下，拒绝更新此资源) 之外的所有资源进行的更新。

{
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "NotResource" : "LogicalResourceId/ProductionDatabase"
    }
  ]
}

阻止对资源类型的所有实例进行更新

以下策略拒绝针对 RDS 数据库实例资源类型的所有更新操作。它使用 Allow 语句允许对所有其他堆栈资源进行全部更新操作。Allow 语句不应用于 RDS 数据库实例资源，因为 Deny 语句始终覆盖允许操作。

{
  "Statement" : [
    {
      "Effect" : "Deny",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "ResourceType" : ["AWS::RDS::DBInstance"]
        }
      }
    },
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}

阻止针对实例的替换更新

以下策略拒绝会导致替换具有 MyInstance 逻辑 ID 的实例的更新。它使用 Allow 语句允许对所有其他堆栈资源进行全部更新操作。Allow 语句不应用于 MyInstance 资源，因为 Deny 语句始终覆盖允许操作。

{
  "Statement" : [
    {
      "Effect" : "Deny",
      "Action" : "Update:Replace",
      "Principal": "*",
      "Resource" : "LogicalResourceId/MyInstance"
    },
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}

阻止对嵌套堆栈进行更新

以下策略将拒绝针对 CloudFormation 堆栈资源类型（嵌套堆栈）的所有更新操作。它使用 Allow 语句允许对所有其他堆栈资源进行全部更新操作。Allow 语句不会应用于 CloudFormation 堆栈资源，因为 Deny 语句始终会覆盖 allow 操作。

{
  "Statement" : [
    {
      "Effect" : "Deny",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "ResourceType" : ["AWS::CloudFormation::Stack"]
        }
      }
    },
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}