Question

我的管道将跨多个不同的 AWS 账户运行。有些账户拥有所需的所有 S3 存储桶，而有些账户缺少某些存储桶。

我需要我的 IAM 策略来包含所有 S3 存储桶的 ARN（如果存在）。如果账户有一些不存在的 s3 存储桶，则应从策略中省略这些 ARN。类似的东西：

#Check if S3 bucket 1 exists
data "aws_s3_bucket" "1" {
count =  "${var.bucket1_exist == "true" ? 1 : 0 }"
  bucket = "bucket1"
}
.
.
.
.
#Check if S3 bucket N exists
data "aws_s3_bucket" "N" {
count =  "${var.bucketN_exist == "true" ? 1 : 0 }"
  bucket = "bucketN"
}

#Dynamic IAM policy
data "aws_iam_policy_document" "conditional" {
  statement {
    sid = "1"

    actions = [
      "s3:ListAllMyBuckets",
      "s3:GetBucketLocation",
    ]

    resources = [
      "data.aws_s3_bucket.1.arn",
      .
      .
      "data.aws_s3_bucket.N.arn",
  }
}

有什么方法可以动态设置此 IAM 政策？我知道 Terraform 需要显式声明现有资源，但是有没有办法用类似的代码解决动态环境？

Answer 1

您无法使用普通 TF 执行此操作，因为 TF 没有功能来检查某些内容是否存在。对于此类功能，您可能必须为此在 TF 中开发一个 external resource。您也可以对 aws_lambda_invocation 执行相同操作。

无论您选择什么，最终都取决于您实现逻辑来检查某些东西是否存在。

Terraform - 仅当资源存在于 IAM 策略时才添加资源

1 个答案: