Terraform跨区域访问AWS KMS密钥及S3桶问题求助

错误原因分析 #

第一个错误（密钥不存在） #

你未给aws_kms_key数据源指定目标区域的provider，Terraform默认使用源区域（us-east-1）的AWS provider查询KMS密钥，而目标密钥实际在us-east-2，因此出现找不到密钥的错误。

第二个错误（Provider配置不存在） #

Terraform子模块无法直接引用根模块定义的provider别名（比如aws.dest），必须通过模块参数显式传递根模块的provider配置。你直接在子模块数据源中写provider = aws.dest，子模块无法识别该配置，再加上之前状态中已存在旧的数据源记录，导致状态与配置不匹配，触发错误。

分步解决 #

1. 清理冲突状态 #

先执行命令移除状态中旧的数据源记录：

terraform state rm module.s3.data.aws_kms_key.dest_kmskey

2. 修改子模块的provider声明 #

在s3子模块的根目录（比如providers.tf文件）中，添加配置让模块接受外部传递的AWS provider：

# 子模块s3/providers.tf
terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0" # 使用你实际的provider版本
      configuration_aliases = [aws.dest] # 声明接受别名为dest的AWS provider
    }
  }
}

3. 根模块调用时传递provider #

在根模块调用s3模块的代码中，添加providers参数，将根模块的aws.dest传递给子模块：

# 根模块main.tf
module "s3" {
  source = "./s3" # 你的子模块路径

  # 其他模块参数...

  # 传递目标区域provider给子模块
  providers = {
    aws.dest = aws.dest
  }
}

4. 修正子模块数据源配置 #

子模块中的aws_kms_key数据源现在可以正确引用传递进来的provider：

# 子模块s3/data.tf
data "aws_kms_key" "dest_kmskey" {
  provider = aws.dest
  key_id   = "3b88109a-a89a-4726-a0cd-206ffd129a65"
}

5. 验证配置 #

执行以下命令验证配置是否正常：

terraform init
terraform plan

内容的提问来源于stack exchange，提问作者user23350878