スタック構成後に行われた手動変更を検出する CloudFormation ドリフト検出が発表されました。
実際どういう変更を検出するのか、EC2 リソースに対していくつかパターンを試してみました。
2018年12月時点です。
新 – CloudFormation ドリフト検出 | Amazon Web Services ブログ
パターン検証用 CFn テンプレートサンプル
AWSTemplateFormatVersion: 2010-09-09
Resources:
SecurityGroup:
Type: AWS::EC2::SecurityGroup
Properties:
GroupDescription: SampleSecurityGroup
SecurityGroupIngress:
- IpProtocol: tcp
FromPort: 22
ToPort: 22
CidrIp: 0.0.0.0/0
Instance:
Type: AWS::EC2::Instance
Properties:
ImageId: ami-0a2de1c3b415889d2
InstanceType: t2.micro
SecurityGroups:
- !Ref SecurityGroup
KeyName: Keypair
Monitoring: !Ref AWS::NoValue
Tags:
- Key: Sample
Value: test tag sample
1. 設定した値の変更は検出するか？
A. 検出する (NOT_EQUAL)
期待通り設定値が同値ではない（NOT_EQUAL）となります。
t2.micro => t2.nano 変更 = 検出（NOT_EQUAL）
2. 設定していない値の変更は検出するか？
A. 検出しない
未設定のデフォルト値を変更しても検出されません。
Monitoring 未設定 => 有効化 = 検知せず
Tags: に key: Name 新規追加 = 検知せず
3. 設定したリストへの値の追加は検出するか？
A. 検出する (ADD)
設定済みのリスト値に項目を追加すると検出（ADD）となります。
SecurityGroupIngress に http:80 追加 = 検出（ADD）
4. 設定したリストへの値の削除は検出するか？
A. 検出する (REMOVE)
設定済みのリスト値の項目を削除すると検出（REMOVE）となります。
Tags: Sample 削除 = 検出（REMOVE）
5. AWS::NoValue 値の変更は検出するか？
A. 検出しない
明示的なデフォルト値の AWS::NoValue の変更は検出するかと思っていましたが、検出しませんでした。
Monitoring: !Ref AWS::NoValue => true 変更 = 検知せず
6. EC2 ステータスの変更は検出するか？
A. 検出しない
インスタンスの状態は検出対象外です。
まとめ
試した感じだとデフォルト値の変更は検知しないので、検出したい項目は明示的に値を入れるべきという感じです。