本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

避免更新堆疊資源

當您建立堆疊時，可以對所有的資源執行所有更新動作。根據預設，有堆疊更新許可的任何人都可以更新堆疊中的所有資源。在更新期間，有些資源可能需要中斷或是完全替換，以致產生新的實體 ID 或全新的儲存體。您可避免在使用堆疊政策更新堆疊期間，無意中更新或刪除堆疊資源。堆疊政策是一種 JSON 文件，定義可在指定資源上執行的更新動作。

在您設定堆疊政策之後，堆疊中的所有資源預設都會受到保護。若要允許特定資源的更新，您可以為您堆疊政策中的這些資源指定明確的 Allow 陳述式。您每個堆疊只能定義一個堆疊政策，但可以保護單一政策內的多個資源。堆疊原則適 AWS CloudFormation 用於所有嘗試更新堆疊的使用者。您無法建立不同堆疊政策與不同使用者的關聯。

堆疊政策僅適用於堆疊更新期間。它不提供像 AWS Identity and Access Management (IAM) 政策這樣的存取控制。堆疊政策僅作為容錯移轉的安全機制，以避免意外更新特定的堆疊資源。若要控制對資 AWS 源或動作的存取，請使用 IAM。

範例堆疊政策

下列範例堆疊政策會避免更新 ProductionDatabase 資源：

{
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    },
    {
      "Effect" : "Deny",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "LogicalResourceId/ProductionDatabase"
    }
  ]
}

在您設定堆疊政策時，所有資源預設都會受到保護。為允許更新所有資源，我們新增在所有資源上允許所有動作的 Allow 陳述式。雖然 Allow 陳述式指定所有的資源，但明確的 Deny 陳述式會針對邏輯 ID 為 ProductionDatabase 的資源覆寫它。此 Deny 陳述式會避免 ProductionDatabase 資源上所有的更新動作，例如替換或刪除。

Principal 元素是必要的，但只支援萬用字元 (*)，這表示此陳述式適用於所有主體。

定義堆疊政策

當您建立堆疊時，未設定任何堆疊政策，所以可對所有的資源執行所有更新動作。為了保護堆疊資源不受更新動作影響，請定義堆疊政策，然後在您的堆疊上設定它。堆疊原則是 JSON 文件，定義 AWS CloudFormation 使用者可以執行的 AWS CloudFormation 堆疊更新動作以及動作套用的資源。您在建立堆疊時，透過指定包含您堆疊政策的文字檔案或將它輸出的方式，設定堆疊政策。當您在堆疊上設定堆疊政策時，預設拒絕任何未明確允許的更新。

您可以使用五種元素定義堆疊政策：Effect、Action、Principal、Resource 和 Condition。下列虛擬程式碼顯示堆疊政策的語法。

{
  "Statement" : [
    {
      "Effect" : "Deny_or_Allow",
      "Action" : "update_actions",
      "Principal" : "*",
      "Resource" : "LogicalResourceId/resource_logical_ID",
      "Condition" : {
        "StringEquals_or_StringLike" : {
          "ResourceType" : [resource_type, ...]
        }
      }
    }
  ]
}

設定堆疊政策

您可以使用主控台或 AWS CLI 在建立堆疊時套用堆疊原則。您也可以使用 AWS CLI 將堆疊原則套用至現有堆疊。套用堆疊原則之後，您無法將其從堆疊中移除，但您可以使用 AWS CLI 來修改它。

堆疊原則適 AWS CloudFormation 用於嘗試更新堆疊的所有使用者。您無法建立不同堆疊政策與不同使用者的關聯。

如需撰寫堆疊政策的資訊，請參閱定義堆疊政策。

更新受保護的資源

若要更新受保護的資源，請建立覆寫堆疊政策的暫時政策，並允許更新這些資源。在更新堆疊時您指定覆寫政策。覆寫的政策不會永久變更堆疊政策。

若要更新受保護的資源，您必須具有使用 AWS CloudFormation SetStackPolicy動作的權限。如需有關設定 AWS CloudFormation 權限的資訊，請參閱控制存取 AWS Identity and Access Management。

修改堆疊政策

若要保護其他資源或移除對資源的保護，請修改堆疊政策。例如，當您將想要保護的資料庫新增到您的堆疊時，請為該資料庫將 Deny 陳述式新增到堆疊政策。若要修改政策，您必須有使用 SetStackPolicy 動作的許可。

使用修 AWS CLI 改堆疊原則。

您無法刪除堆疊政策。若要移除所有資源的所有保護，您要修改政策，明確允許對所有資源的所有動作。下列政策允許所有資源的所有更新：

{
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}

更多範例堆疊政策

下列範例政策示範如何防止更新所有堆疊資源和特定資源，並防止特定類型的更新。

避免更新所有堆疊資源

為了防止更新所有堆疊資源，下列政策為所有資源的所有更新動作指定 Deny 陳述式。

{
  "Statement" : [
    {
      "Effect" : "Deny",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}

避免更新單一資源

下列政策拒絕邏輯 ID 為 MyDatabase 之資料庫的所有更新動作。Allow 陳述式允許所有其他堆疊資源的所有更新動作。Allow 陳述式不適用於 MyDatabase 資源，因為 Deny 陳述式一律會覆寫允許動作。

{
  "Statement" : [
    {
      "Effect" : "Deny",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "LogicalResourceId/MyDatabase"
    },
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}

使用預設拒絕可以達到和前例相同的結果。當您設定堆疊原則時，會 AWS CloudFormation 拒絕任何未明確允許的更新。下列政策允許更新所有資源，預設拒絕的 ProductionDatabase 資源除外。

{
  "Statement" : [
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "NotResource" : "LogicalResourceId/ProductionDatabase"
    }
  ]
}

避免更新某種資源類型的所有執行個體

下列政策拒絕 RDS 資料庫執行個體資源類型的所有更新動作。Allow 陳述式允許所有其他堆疊資源的所有更新動作。Allow 陳述式不適用於 RDS 資料庫執行個體資源，因為 Deny 陳述式一律會覆寫允許動作。

{
  "Statement" : [
    {
      "Effect" : "Deny",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "ResourceType" : ["AWS::RDS::DBInstance"]
        }
      }
    },
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}

避免更換執行個體的更新

下列政策拒絕會造成更換邏輯 ID 為 MyInstance 之執行個體的更新。Allow 陳述式允許所有其他堆疊資源的所有更新動作。Allow 陳述式不適用於 MyInstance 資源，因為 Deny 陳述式一律會覆寫允許動作。

{
  "Statement" : [
    {
      "Effect" : "Deny",
      "Action" : "Update:Replace",
      "Principal": "*",
      "Resource" : "LogicalResourceId/MyInstance"
    },
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}

避免巢狀堆疊的更新

下列原則會拒絕堆疊資源類型 (巢狀 AWS CloudFormation 堆疊) 上的所有更新動作。Allow 陳述式允許所有其他堆疊資源的所有更新動作。該Allow語句不適用於 AWS CloudFormation堆棧資源，因為Deny語句總是覆蓋允許操作。

{
  "Statement" : [
    {
      "Effect" : "Deny",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "ResourceType" : ["AWS::CloudFormation::Stack"]
        }
      }
    },
    {
      "Effect" : "Allow",
      "Action" : "Update:*",
      "Principal": "*",
      "Resource" : "*"
    }
  ]
}