Terraform创建Lambda、IAM资源时出现循环依赖错误求助

1. 定位循环根源 #

先从错误日志里明确哪两个资源在互相引用，最常见的触发场景是：

• Lambda函数创建时必须指定IAM角色的ARN
• IAM策略中需要引用Lambda的ARN来配置权限（比如CloudWatch日志写入、触发源访问）
  这种双向绑定直接形成循环依赖。

2. 拆分资源创建顺序 #

把耦合的资源拆成三步创建，彻底打破循环：

• 第一步：先创建基础IAM角色和不依赖Lambda的通用策略（比如Lambda基础执行权限）
• 第二步：用这个基础角色创建Lambda函数
• 第三步：基于已生成的Lambda ARN，创建附加权限策略并绑定到角色上

示例代码结构：

# 1. 创建基础Lambda IAM角色（无Lambda ARN依赖）
module "lambda_basic_role" {
  source  = "terraform-aws-modules/iam/aws//modules/iam-role-for-lambda"
  version = "~> 5.0"

  name = "my-lambda-basic-role"
}

# 2. 创建Lambda函数，关联基础角色
module "my_lambda" {
  source  = "terraform-aws-modules/lambda/aws"
  version = "~> 4.0"

  function_name = "demo-lambda"
  runtime       = "python3.10"
  handler       = "index.handler"
  source_path   = "./lambda-code"
  role          = module.lambda_basic_role.iam_role_arn
}

# 3. 创建依赖Lambda ARN的附加策略，再绑定到角色
resource "aws_iam_policy" "lambda_additional_perms" {
  name        = "lambda-additional-permissions"
  description = "Permissions requiring Lambda ARN"
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect   = "Allow"
        Action   = ["logs:CreateLogStream", "logs:PutLogEvents"]
        Resource = "${module.my_lambda.lambda_function_arn}:log-stream:*"
      }
    ]
  })
}

resource "aws_iam_role_policy_attachment" "attach_additional_perms" {
  role       = module.lambda_basic_role.iam_role_name
  policy_arn = aws_iam_policy.lambda_additional_perms.arn
}

3. 修正depends_on使用姿势 #

之前添加depends_on无效，大概率是加错了位置。如果是附加策略依赖Lambda，需要把depends_on加到策略绑定资源上（比如上面的aws_iam_role_policy_attachment）。不过Terraform通常能自动推断这类依赖，除非模块内部有隐藏的资源创建逻辑干扰。

4. 规避模块内部隐含循环 #

如果使用的官方模块自带了Lambda和关联策略的创建逻辑，直接拆分模块调用：不要用同一个模块同时生成Lambda和带ARN引用的策略，分开调用IAM模块和Lambda模块，再单独处理依赖Lambda的权限配置。

内容的提问来源于stack exchange，提问作者Gowthamakanthan Gopal