要禁止使用CloudFormation更新用户池模式，可以使用AWS Identity and Access Management（IAM）策略来限制用户的权限。以下是一个可能的解决方案：

1. 创建一个名为“DenyUpdateUserPool”或类似的IAM策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyUpdateUserPool",
      "Effect": "Deny",
      "Action": [
        "cognito-idp:UpdateUserPool",
        "cognito-idp:UpdateUserPoolClient",
        "cognito-idp:UpdateUserPoolDomain"
      ],
      "Resource": [
        "arn:aws:cognito-idp:region:account-id:userpool/userpool-id",
        "arn:aws:cognito-idp:region:account-id:userpool/userpool-id/client/client-id",
        "arn:aws:cognito-idp:region:account-id:userpool/userpool-id/domain/domain-name"
      ]
    }
  ]
}

请注意，将region、account-id、userpool-id、client-id和domain-name替换为相应的值。

2. 创建一个名为“DenyUpdateUserPool”或类似的IAM策略附加到用户或用户组上。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyUpdateUserPool",
      "Effect": "Deny",
      "Action": [
        "cognito-idp:UpdateUserPool",
        "cognito-idp:UpdateUserPoolClient",
        "cognito-idp:UpdateUserPoolDomain"
      ],
      "Resource": [
        "arn:aws:cognito-idp:region:account-id:userpool/userpool-id",
        "arn:aws:cognito-idp:region:account-id:userpool/userpool-id/client/client-id",
        "arn:aws:cognito-idp:region:account-id:userpool/userpool-id/domain/domain-name"
      ]
    }
  ]
}

请注意，将region、account-id、userpool-id、client-id和domain-name替换为相应的值。

3. 将此策略附加到具有CloudFormation更新用户池模式权限的IAM角色或用户上。

这样做后，当用户尝试使用CloudFormation更新用户池模式时，将收到"Access Denied"错误。