AWS Control Towerの管理アカウントとCloudFormation StackSetsを使用して、DevOpsエンジニアは、まだ有効になっていないアカウントに対してAmazon GuardDutyを有効にする必要があります。StackSetsのデプロイ失敗を避けるために、CloudFormationテンプレートはどのように設計すべきですか？

CloudFormation StackSetsは、ターゲットアカウントでリソースがすでに存在するかどうかを直接判断するメカニズムを持っていません。そのため、GuardDutyが既に有効になっているアカウントでStackSetsがGuardDutyを有効にしようとすると、デプロイが失敗します。Lambda関数を呼び出すCloudFormationカスタムリソースを使用することで、デプロイ前に各アカウントでGuardDutyのステータスをプログラムで確認し、まだ有効になっていない場合にのみ有効にするという条件付きロジックを実装できます。これにより、StackSetsのデプロイ失敗を防ぎ、冪等性を確保できます。ConditionsセクションやFn::GetAttは、既存のリソースの状態に基づいて条件付きロジックを実装するようには設計されていません。手動でアカウントリストを作成する方法は、動的な環境では管理が困難でエラーが発生しやすいため、推奨されません。