Что можно сделать с
Value () for parameter groupId is invalid. The value cannot be empty (Service: AmazonEC2; Status Code: 400; Error Code: InvalidParameterValue; Request ID: ...
казалось бы, простой AWS::EC2::Instance, просто в новом VPC. Причем подобное нашел
https://stackoverflow.com/questions/56676108/cloudformation-throws-value-for-parameter-groupid-is-invalid-the-value-cannЗаменил SecurityGroups на SecurityGroupIds, как в ответе, и получил Security group sg-006f045614018c5c3 and subnet subnet-8206c0d8 belong to different networks. Потому что subnet - указывает на default.
Вообще убрал SecurityGroup* - машина создалась. Но - в дефолтном VPC, где она совершенно бесполезна.