AWS Academy账户使用Terraform遇权限拒绝问题求助

可能的原因及对应解决步骤 #

• 指定兼容的Terraform AWS Provider版本
  AWS Academy环境对部分新版Provider的兼容性有限，建议锁定稳定的旧版本，在provider "aws"块中添加版本约束：

  provider "aws" {
    region = "us-east-1" # 替换为你的实际区域
    version = "~> 4.0"
    access_key = "你的access_key"
    secret_key = "你的secret_key"
    session_token = "你的session_token"
  }
  

• 严格遵循S3 Bucket命名规则
  AWS Academy账户对Bucket命名有严格限制：必须全局唯一，仅包含小写字母、数字、连字符，不能以连字符开头或结尾，长度控制在3-63字符内，避免使用已被占用的名称。

• 禁用Terraform额外权限验证操作
  部分场景下Terraform会执行额外权限校验（比如获取账户ID的请求），而AWS Academy账户可能限制此类操作。可在Provider块中添加以下配置：

  provider "aws" {
    region = "us-east-1"
    access_key = "你的access_key"
    secret_key = "你的secret_key"
    session_token = "你的session_token"
    skip_region_validation = true
    skip_requesting_account_id = true
  }
  

• 直接复用AWS CLI的配置上下文
  既然AWS CLI可正常操作，让Terraform完全复用CLI配置：确保.aws/config和.aws/credentials的default profile配置正确，Provider块仅指定区域即可：

  provider "aws" {
    region = "us-east-1"
  }
  

  同时检查终端环境变量，避免存在覆盖AWS凭证的AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY等变量。

• 验证API调用权限一致性
  通过AWS CLI模拟Terraform的API调用，确认权限是否正常：

  aws s3api create-bucket --bucket your-unique-bucket-name --region us-east-1
  

  如果该命令成功，说明问题出在Terraform配置或行为上；如果失败，需联系AWS Academy管理员确认账户的S3权限是否有隐藏限制。

内容的提问来源于stack exchange，提问作者Ivan Medeiros