利用AWS CloudFormation进行AWS网络防火墙的部署

Question

【以下的问题经过翻译处理】 我正在使用CloudFormation部署网络防火墙设置（VPC、受保护的子网、NAT子网、防火墙子网、NAT网关、网络防火墙、IGW、路由表和路由）。

如何在路由表中设置所需的路由？

该路由指向特定子网中的网络防火墙VPC终端节点，我必须使用CloudFormation类型：`AWS::EC2::Route`来设置路由：

```
IGWIngressRoute:
  Type: AWS::EC2::Route
  DependsOn: NetworkFirewall
  Properties:
    RouteTableId: !Ref IGWIngressRouteTable
    DestinationCidrBlock: !Ref NATGatewaySubnetCIDR
    VpcEndpointId: <<<<<< 这里输入特定的网络防火墙终端节点 
```

属性`VpcEndpointId`应设置为特定子网的网络防火墙终端节点。
网络防火墙资源包含`EndpointIds`属性，其中包含所有终端节点的**列表**。我可以使用`!GetAtt NetworkFirewall.EndpointIds`获取该列表。

**问题**：如何正确进行设置路由，使其指向网络防火墙终端节点？
到目前为止，我没有找到任何样本CloudFormation片段来实现这一点。

我理解，可以通过CFN自定义资源或部署后进行路由设置等方式来完成路由设置。但是仅使用CloudFormation模板是否可行？

Answer

【以下的回答经过翻译处理】 你需要使用custom resource（或可能是macro）来传递“EndpointIds”，并对其进行排序或返回可从中选取的structure。在public resource的提供程序中，存在一个值得跟踪或贡献的开放性问题（https://github.com/aws-cloudformation/aws-cloudformation-resource-providers-networkfirewall/issues/15）。

利用AWS CloudFormation进行AWS网络防火墙的部署

Relevanter Inhalt