Una empresa utiliza CloudFormation para implementar infraestructura y le preocupa que la eliminación de un stack de producción también pueda eliminar datos importantes en las bases de datos de Amazon RDS o en los volúmenes de Amazon EBS. ¿Cómo puede la empresa evitar la eliminación accidental de esos recursos de datos cuando se elimina un stack?

La opción correcta es agregar un atributo DeletionPolicy a las definiciones de CloudFormation. Al establecer DeletionPolicy en Retain o Snapshot (para recursos que lo admiten, como RDS), CloudFormation no eliminará el recurso subyacente cuando se elimine el stack, sino que lo conservará o creará un snapshot. Esto previene la pérdida accidental de datos. Las políticas de stack (Stack Policies) controlan qué recursos pueden actualizarse o eliminarse dentro del stack, no impiden la eliminación de recursos cuando el stack completo se elimina. Las políticas de IAM pueden denegar la eliminación, pero esto es una medida de seguridad más amplia y no específica para la gestión de CloudFormation, además de que la etiqueta aws:cloudformation:stack-name no es la forma más robusta de identificar recursos para este propósito. AWS Config se utiliza para evaluar el cumplimiento de las configuraciones de recursos, no para bloquear directamente su eliminación.