使用Terraform为AWS Lake Formation角色授予标签表达式报错求助

错误原因分析 #

你遇到的两个错误均由拼写错误和属性名不匹配导致：

1. Unsupported attribute错误：代码中误写为tag_expresssions（多了一个s），但变量定义的是tag_expressions，Terraform无法识别该属性。
2. Insufficient expression blocks错误：因拼写错误导致dynamic块未生成任何expression，触发了资源要求至少1个expression块的约束。
3. 额外问题：dynamic内容块中错误使用tag_key和tag_value，但你的变量结构定义的是key和values。

修正后的代码 #

resource "aws_lakeformation_permissions" "table_tag_permissions" {
  for_each = var.roles

  principal = each.value.arn

  lf_tag_policy {
    resource_type = "TABLE"
    dynamic "expression" {
      # 修正拼写错误：tag_expresssions → tag_expressions
      for_each = each.value.tag_expressions
      content {
        # 修正属性名：tag_key → key；tag_value → values
        key    = expression.value.key
        values = expression.value.values
      }
    }
  }

  permissions = ["SELECT", "DESCRIBE"]

  depends_on = [aws_lakeformation_resource_lf_tags.db_tags]
}

复杂标签逻辑扩展（AND/OR） #

如果需要实现CLI示例中的多标签组合逻辑：

• 同级expression块默认是AND关系（所有标签条件必须同时满足）
• 若需OR关系，需用or块包裹多个expression

比如构建(org:org_value1 OR org:org_value2) AND class:class_value的逻辑：

lf_tag_policy {
  resource_type = "TABLE"
  expression {
    or {
      expression {
        key    = "org"
        values = ["org_value1"]
      }
      expression {
        key    = "org"
        values = ["org_value2"]
      }
    }
  }
  expression {
    key    = "class"
    values = ["class_value"]
  }
}

若要在变量中支持这种嵌套逻辑，可调整变量结构以容纳OR表达式，示例：

# 调整后的变量定义
variable "roles" {
  description = "A map of roles with their ARNs and associated tag expressions."
  type = map(object({
    arn = string
    tag_policy_expressions = list(object({
      # 支持直接表达式或OR分组
      key    = optional(string)
      values = optional(list(string))
      or     = optional(list(object({
        key    = string
        values = list(string)
      })))
    }))
  }))
}

内容的提问来源于stack exchange，提问作者Aaron Dupaix