跨账号创建MWAA环境遇子网归属验证错误，求Terraform配置修正方案

错误原因 #

该ValidationException报错的核心是Terraform创建MWAA时，无法验证指定子网归属当前操作的账号（账号2），常见触发场景：

• 动态查询子网的data.aws_subnets资源未正确获取到账号1共享的子网（如标签过滤权限不足、查询条件不匹配）
• RAM子网共享的权限配置存在遗漏，导致账号2无法在API层面验证子网归属权
• Terraform使用的AWS凭证对共享子网的描述权限不足

修正方法 #

结合你已通过控制台成功创建的前提，以下是针对性的Terraform配置调整方案：

1. 直接指定共享子网ID，替代动态查询 #

跨账号环境下，账号2的Terraform可能无法通过标签等方式正确查询账号1的共享子网，建议直接传入账号1的子网ID：

# 替换原network_configuration中的subnet_ids配置
network_configuration {
  security_group_ids = [data.aws_security_group.cnr_mwaa_endpoints_sg[0].id]
  # 直接传入账号1共享的子网ID，通过变量定义管理
  subnet_ids         = var.shared_subnet_ids_from_account1
}

同时添加变量定义：

variable "shared_subnet_ids_from_account1" {
  type        = list(string)
  description = "从账号1共享到账号2的子网ID列表"
}

2. 补充MWAA执行角色的VPC访问权限 #

给MWAA执行角色添加必要的VPC资源访问权限：

resource "aws_iam_role_policy" "mwaa_vpc_access" {
  name   = "mwaa-vpc-access"
  role   = aws_iam_role.mwaa[0].id
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect   = "Allow"
        Action   = [
          "ec2:DescribeSubnets",
          "ec2:DescribeVpcs",
          "ec2:DescribeSecurityGroups"
        ]
        Resource = "*"
      }
    ]
  })
}

3. 验证RAM共享配置完整性 #

确认账号1的RAM共享配置包含：

• 将目标VPC（含子网）共享给账号2
• 共享权限中授予账号2ec2:CreateNetworkInterface、ec2:Describe*等MWAA所需的EC2权限
• 账号2已接受RAM共享邀请

4. 检查Terraform Provider权限 #

确保Terraform使用的账号2凭证拥有：

• RAM共享资源的访问权限
• MWAA环境创建的全量权限
• 共享子网的描述权限

内容的提问来源于stack exchange，提问作者Olfa2