如何使用Terraform部署S3 Bucket Policy时传递不同Principal

你当前用Terraform批量创建S3桶并绑定桶策略，但不同部署账号对应的授权主体（Principal）不同，尝试参数化时出现列表被转为字符串的问题，导致策略配置错误。

解决步骤 #

1. 定义接收授权主体的变量

在Terraform变量文件中添加类型为list(string)的变量，用来传入不同账号的ARN列表：

variable "allowed_principals" {
  type        = list(string)
  description = "需要授予S3桶访问权限的IAM角色/用户ARN列表"
}

2. 修改桶策略资源的参数传递

更新aws_s3_bucket_policy资源，直接传递列表变量给模板，不做字符串转换：

resource "aws_s3_bucket_policy" "allow_access_to_bucket" {
  for_each = aws_s3_bucket.buckets
    
  bucket = each.value.id
  policy = templatefile("s3_policy.json", {
    tmp_s3_arn         = each.value.arn
    allowed_principals = var.allowed_principals
  })
}

3. 调整JSON策略模板

在s3_policy.json中，用Terraform的jsonencode函数处理传入的列表，确保生成合法的JSON数组：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ObjectPermissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": ${jsonencode(allowed_principals)}
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl",
                "s3:DeleteObject"
            ],
            "Resource": "${tmp_s3_arn}/*"
        }
    ]
}

问题原因说明 #

之前的错误是因为直接在JSON模板中插入列表时，Terraform会默认将其转为字符串格式（带方括号和逗号的字符串），而jsonencode函数会将Terraform列表正确序列化为JSON数组，匹配IAM策略对Principal格式的要求。

内容的提问来源于stack exchange，提问作者Juan Luna