AWS Control Tower 관리 계정 및 CloudFormation StackSets를 사용하여 DevOps 엔지니어는 아직 GuardDuty를 활성화하지 않은 계정에 대해 Amazon GuardDuty를 활성화해야 합니다. StackSets 배포 실패를 방지하려면 CloudFormation 템플릿을 어떻게 설계해야 할까요?

CloudFormation 사용자 지정 리소스는 CloudFormation이 기본적으로 지원하지 않는 작업을 수행할 수 있도록 합니다. Lambda 함수를 호출하여 GuardDuty 활성화 여부를 확인하고, 활성화되지 않은 경우에만 GuardDuty를 활성화하도록 로직을 구현하면, 이미 GuardDuty가 활성화된 계정에서는 배포 실패 없이 작업을 건너뛸 수 있습니다. Conditions 섹션은 템플릿 배포 전에 조건을 평가하므로, GuardDuty 활성화 여부를 동적으로 확인할 수 없습니다. Fn::GetAtt는 이미 존재하는 리소스의 속성을 가져오는 데 사용되며, GuardDuty 활성화 여부를 감지하고 조건부로 리소스를 생성하는 데 직접적으로 사용될 수 없습니다. 계정 ID 목록을 수동으로 관리하는 것은 확장성이 떨어지고 오류 발생 가능성이 높으며, Fn::ImportValue는 다른 스택에서 내보낸 값을 가져오는 데 사용됩니다.