AWS CloudFormation のドリフト対応変更セットを試してみる

こんにちは、SCSK齋藤です。

2025年の11月に AWS CloudFormation に関するアップデートが来ました。その内容について検証してみたいと思います。

ドリフト対応変更セット
試してみた
まとめ

ドリフト対応変更セット

アップデートは、ドリフト対応変更セットというもので、これはテンプレートの内容と実際のインフラの状況を比較した上で、変更セットを立てるという内容です。

AWS CloudFormation のドリフト対応変更セットで設定のドリフトを安全に処理 - AWS

AWS の新機能についてさらに詳しく知るには、 AWS CloudFormation のドリフト対応変更セットで設定のドリフトを安全に処理

図解すると下記のようなイメージです。

これまでの変更セットは、現在のテンプレートと、新しいテンプレートを比較して差分を抽出します。

しかし、ドリフト対応変更セットは、それに加えて実際のインフラの状況も見た上で変更差分を抽出します。

試してみた

今回はLambda関数を定義したCloudFormationを使って、ドリフト対応変更セットとはどのようなものなのかみていきたいと思います。

①Python3.11のランタイムのLambdaをデプロイ

下記テンプレートをまずデプロイしてみます。

AWSTemplateFormatVersion: '2010-09-09'
Description: Simple CloudFormation Template to create one AWS Lambda function
Resources:
  testlambda:
    Type: AWS::Lambda::Function
    Properties:
      FunctionName: "test-lambda"
      Handler: index.lambda_handler
      Runtime: python3.13
      Architectures:
        - arm64
      Role: !GetAttLambdaRole.Arn
      Code:
        ZipFile: |
          def lambda_handler(event, context):
          return {
            'statusCode': 200,
            'body': 'Hello from Lambda!'
         }

  LambdaRole:
   Type: "AWS::IAM::Role"
   Properties:
     RoleName: "my-function-role"
     AssumeRolePolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: "Allow"
            Principal:
              Service: "lambda.amazonaws.com"
            Action: "sts:AssumeRole"
     Policies:
       - PolicyName: "MyPolicy"
         PolicyDocument:
         Version: "2012-10-17"
         Statement:
           - Effect: Allow
             Action:
               - logs:CreateLogGroup
             Resource: arn:aws:logs:ap-northeast-1:425086073817:*
           - Effect: Allow
             Action:
               - logs:CreateLogStream
               - logs:PutLogEvents
             Resource:
               - arn:aws:logs:ap-northeast-1:425086073817:log-group:/aws/lambda/test-lambda:*

上記をデプロイすることにより、Lambdaのランタイムは、3.11となります。