Terraform中SNS策略文件的本地/全局变量无法解析值的问题

方案1：使用templatefile渲染策略模板 #

直接用file()读取JSON文件时，Terraform不会解析文件内的插值变量，改用templatefile()可以实现变量替换：

1. 将原策略文件重命名为模板格式（比如sns-policy.tpl.json），保留文件内的${local.sns_topic_name}、${var.awsAccId}等插值语法。
2. 在aws_sns_topic_policy资源中通过templatefile()传递变量并渲染内容：

resource "aws_sns_topic_policy" "sns_topic_policy" {
  arn    = aws_sns_topic.your_topic.arn
  policy = jsonencode(templatefile("${path.module}/sns-policy.tpl.json", {
    sns_topic_name     = local.sns_topic_name
    fail_noti_topic_arn = local.fail_noti_topic_arn
    aws_acc_id         = var.awsAccId
    region             = var.region
  }))
}

注意：模板文件中的变量名要和templatefile()第二个参数的键名完全对应。

方案2：直接在HCL中构造策略（无需外部文件） #

放弃外部JSON文件，直接在资源定义里用HCL构造策略对象，Terraform会自动解析变量，同时jsonencode()能确保JSON格式合法：

resource "aws_sns_topic_policy" "sns_topic_policy" {
  arn    = aws_sns_topic.your_topic.arn
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect    = "Allow"
        Principal = { AWS = "arn:aws:iam::${var.awsAccId}:root" }
        Action    = "sns:*"
        Resource  = "arn:aws:sns:${var.region}:${var.awsAccId}:${local.sns_topic_name}"
      },
      {
        Effect    = "Allow"
        Principal = { AWS = "*" }
        Action    = "sns:Publish"
        Resource  = local.fail_noti_topic_arn
        Condition = {
          StringEquals = { "AWS:SourceAccount" = var.awsAccId }
        }
      }
      # 其他规则按需添加
    ]
  })
}

关键排查点 #

• 检查变量插值语法：确保是${var.xxx}而非{var.xxx}（少$符号会导致变量不解析）。
• 验证ARN格式：策略中所有SNS主题ARN必须符合arn:aws:sns:<region>:<account-id>:<topic-name>格式。
• 提前校验语法：执行terraform validate检查资源定义和策略JSON的语法错误，避免policyerror Attribute is not valid问题。

内容的提问来源于stack exchange，提问作者pc_fuel