Terraform用S3后端+DynamoDB锁时的权限与Schema报错求助

问题背景 #

在Win10的WSL2环境使用Ubuntu 22.04，搭配Terraform v1.9.8部署AWS资源，配置将tfstate文件存储在S3桶并通过DynamoDB实现状态锁。执行terraform apply时，先遇到IAM用户terraform无DynamoDB:PutItem/GetItem权限的报错，添加IAM策略未解决，将用户加入管理员组后权限问题修复，但出现DynamoDB Schema不匹配的报错：缺少terraform.tfstate键、键元素与Schema不符。

provider.tf配置 #

terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "5.50.0"
    }
  }

  backend "s3" {
    bucket         = "asavbacket"
    encrypt        = true
    key            = "terraform.tfstate/state"
    region         = "us-east-1"
    access_key     = "***"
    secret_key     = "***"
    dynamodb_table = "terraform-asav-lock-table"
  }
}

尝试添加的IAM策略 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EnableIAMUserPermissions",
            "Effect": "Allow",
            "Action": "kms:*",
            "Resource": "arn:aws:kms:us-east-1:***:key/d6c67"
        },
        {
            "Sid": "StateBucketObjectAccess",
            "Effect": "Allow",
            "Action": [
                "dynamodb:PutItem",
                "dynamodb:DeleteItem",
                "dynamodb:GetItem"
            ],
            "Resource": "arn:aws:dynamodb:us-east-1:***:table/terraform-asav-lock-table"
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::asavbacket"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::asavbacket/terraform.tfstate/state"
        }
    ]
}

当前报错信息 #

Error message: operation error DynamoDB: PutItem, https response error StatusCode: 400, RequestID: H3QGJJHIOBPHFUAPNDE26HS82JVV4KQNSO5AEMVJF66Q9ASUAAJG, api error ValidationException: One or more parameter values were invalid: Missing the key terraform.tfstate in the item
│ Unable to retrieve item from DynamoDB table "terraform-asav-lock-table": operation error DynamoDB: GetItem, https response error StatusCode: 400, RequestID: 2Q9SQ7M20CT913K5RU3NHUPUIRVV4KQNSO5AEMVJF66Q9ASUAAJG, api error ValidationException: The provided key element does not match the schema

问题根源 #

Terraform对用于状态锁的DynamoDB表有强制Schema要求：

• 必须存在一个名为LockID的字符串类型分区键（Partition Key），而非报错中提到的terraform.tfstate
• 不需要配置排序键（Sort Key）

修复步骤 #

1. 修正DynamoDB表Schema

   • 登录AWS控制台，进入DynamoDB服务，找到terraform-asav-lock-table
   • 检查表的键结构：如果分区键不是LockID或类型不是字符串，需删除现有表重新创建（DynamoDB不支持直接修改主键结构）
   • 正确建表参数：
     • 表名：terraform-asav-lock-table
     • 分区键：LockID，类型选择String
     • 推荐使用按需容量模式，降低不必要的成本

2. 重新初始化Terraform
   修正表结构后，执行命令强制重新配置后端：

   terraform init -reconfigure
   

3. 重新执行部署
   完成初始化后，再次运行：

   terraform apply
   

额外说明 #

之前的IAM策略本身是有效的，权限问题大概率是策略未及时生效或存在其他权限边界限制。如果后续需要最小权限控制，保留该策略即可，无需将用户加入管理员组。

内容的提问来源于stack exchange，提问作者Andrew Savelyev