如何用Terraform创建AWS ECS执行角色并解决重复创建问题？

一、在role.tf中创建ECS执行角色 #

ECS任务执行角色需要允许ECS服务主体（ecs-tasks.amazonaws.com）扮演它，在role.tf中添加以下代码：

# role.tf
# 创建ECS任务执行角色
resource "aws_iam_role" "ecs_execution_role" {
  name = "ecs-execution-role" # 自定义角色名称，确保AWS账户内唯一

  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = "sts:AssumeRole"
        Effect = "Allow"
        Principal = {
          Service = "ecs-tasks.amazonaws.com"
        }
      }
    ]
  })
}

二、为角色添加ECS执行权限 #

直接使用AWS官方的ECS任务执行管理策略即可满足绝大多数场景需求，通过aws_iam_role_policy_attachment关联：

# role.tf 继续添加
# 关联官方ECS执行权限策略
resource "aws_iam_role_policy_attachment" "ecs_execution_role_policy" {
  role       = aws_iam_role.ecs_execution_role.name
  policy_arn = "arn:aws:iam::aws:policy/service-role/AmazonECSTaskExecutionRolePolicy"
}

如果需要自定义权限（比如访问私有镜像仓库、日志服务等），可以创建自定义IAM策略再关联：

# 自定义权限策略示例（可选）
resource "aws_iam_policy" "custom_ecs_execution_policy" {
  name        = "custom-ecs-execution-policy"
  description = "Custom permissions for ECS task execution"

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Action = [
          "ecr:GetAuthorizationToken",
          "ecr:BatchCheckLayerAvailability",
          "ecr:GetDownloadUrlForLayer",
          "ecr:BatchGetImage",
          "logs:CreateLogStream",
          "logs:PutLogEvents"
        ]
        Resource = "*"
      }
    ]
  })
}

# 关联自定义策略到角色
resource "aws_iam_role_policy_attachment" "custom_ecs_execution_policy_attach" {
  role       = aws_iam_role.ecs_execution_role.name
  policy_arn = aws_iam_policy.custom_ecs_execution_policy.arn
}

三、在ECS任务定义中引用该角色 #

修改myProject.tf中的execution_role_arn，直接引用Terraform创建的角色ARN，避免硬编码：

# myProject.tf
resource "aws_ecs_task_definition" "xxxx" {
  # 其他配置...
  execution_role_arn = aws_iam_role.ecs_execution_role.arn
  # 其他配置...
}

四、解决“角色重复”报错问题 #

出现这个错误通常是因为Terraform状态中未记录该角色，但AWS账户内已存在同名角色，或代码中重复定义了该角色。解决方法：

1. 检查代码重复：确保所有.tf文件中只定义了一次aws_iam_role.ecs_execution_role，不要在多个文件重复创建同名角色。
2. 导入现有角色到Terraform状态：如果之前手动创建了同名角色，或第一次执行后状态丢失，用terraform import命令将现有角色纳入Terraform管理：

   terraform import aws_iam_role.ecs_execution_role arn:aws:iam::你的AWS账户ID:role/ecs-execution-role
   

   替换命令中的你的AWS账户ID和ecs-execution-role为实际的账户ID和角色名称。导入后，Terraform会将该角色纳入状态管理，后续执行就不会提示重复。
3. 删除手动创建的角色：如果不需要保留手动创建的同名角色，直接在AWS IAM控制台删除它，再重新执行terraform apply。

内容的提问来源于stack exchange，提问作者Doraemon