如何解决Terraform中Assume Role时的循环依赖错误

问题原因 #

你遇到的循环依赖是因为data.aws_caller_identity.current需要AWS provider完成初始化才能获取账号ID，但provider的assume_role配置又依赖这个账号ID构造role_arn，形成了互相依赖的死循环。

解决方案一：配置双provider分离依赖 #

创建两个独立的AWS provider：一个用于获取当前账号ID，另一个专门承担角色切换后的资源操作。

1. 配置默认provider（无角色切换，仅用于获取账号ID）：

provider "aws" {
  region = "us-east-1"
}

2. 配置带别名的角色切换provider：

provider "aws" {
  region = "us-east-1"
  alias  = "assumed_role"

  assume_role {
    role_arn     = "arn:aws:iam::${data.aws_caller_identity.current.account_id}:role/abc"
    session_name = "jatin-test"
  }
}

3. 保留data资源，并在目标资源中指定使用角色切换后的provider：

data "aws_caller_identity" "current" {}

resource "aws_s3_bucket" "s3_bucket" {
  provider = aws.assumed_role
  bucket   = var.bucket_name
}

解决方案二：通过变量传入账号ID #

直接将目标账号ID通过Terraform变量或环境变量传入，绕开对aws_caller_identity数据资源的依赖。

1. 定义账号ID变量：

variable "target_account_id" {
  type        = string
  description = "需要切换角色的目标AWS账号ID"
}

2. 修改provider配置：

provider "aws" {
  region = "us-east-1"
  assume_role {
    role_arn     = "arn:aws:iam::${var.target_account_id}:role/abc"
    session_name = "jatin-test"
  }
}

3. 运行时传入变量：

• 命令行直接传入：

terraform apply -var "target_account_id=123456789012"

• 或通过环境变量设置：

export TF_VAR_target_account_id=123456789012

内容的提问来源于stack exchange，提问作者Jatin Mehrotra