Não consigo encontrar nenhuma documentação sobre o que acontece quando você mexe manualmente nos objetos do Cloudformation.
Vejo que ele marca seus objetos, mas ele se recupera se, digamos, alguém excluir uma regra de roteamento?
EDITAR: Acabei de receber duas respostas contraditórias. Gostaria de solicitar alguma documentação/evidência, pois tenho que decidir quais orientações estou dando aos meus colegas sobre a modificação desses recursos.
Responder1
O CloudFormation apenas cria ou modifica recursos da AWS durante a implantação, atualização ou exclusão de uma pilha. Ele não 'verifica e aplica' continuamente os estados de configuração dos recursos de pilha individuais - definitivamente pode ocorrer desvio.
Por exemplo, se eu implantar uma pilha CF e posteriormente modificar manualmente uma regra de entrada em um de seus grupos de segurança, essa modificação persistirá até que eu execute uma atualização CF explícita ou reimplante a pilha.
Aqui estão alguns trechos/links úteis:
P: Posso gerenciar recursos individuais da AWS que fazem parte de uma pilha do AWS CloudFormation?
Sim. O AWS CloudFormation não atrapalha; você mantém o controle total de todos os elementos da sua infraestrutura. Você pode continuar usando todas as ferramentas existentes da AWS e de terceiros para gerenciar seus recursos da AWS.
Atualizações das pilhas do AWS CloudFormation: http://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/using-cfn-updating-stacks.html
Impedir atualizações em recursos de pilha: http://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/protect-stack-resources.html
Observe que o último link se refere apenas à proteção de recursos durante uma ação de atualização do CloudFormation, e não a alterações ad-hoc feitas por meio do Management Console ou API em recursos individuais.
Responder2
Se você mexer com os recursos que o Cloudformation implanta, os recursos não serão recuperados/restaurados/colocados em conformidade; se você realmente precisar impor a integridade, precisará reimplantar a pilha.
Responder3
Pelo que sei, o CloudFormation irá essencialmente impor um "estado do mundo" e corrigir recursos mal configurados.
No seu exemplo, uma regra de roteamento excluída será recriada. Se alguém modificou uma verificação de integridade do ELB, ela será redefinida para a configuração declarada no modelo.