CDKTF外部模块角色假设遇权限错误，如何配置Provider？

一、解决403权限拒绝问题 #

问题原因 #

当使用无直接权限的执行角色时，模块内的资源（如S3桶、CloudFront OAI）默认使用未配置角色假设的默认Provider，导致以执行账号权限发起请求，而执行账号无目标环境的直接权限，触发403错误。

解决方案 #

确保所有需要跨账号操作的资源（包括外部模块内的资源）都明确关联到配置了roleToAssume的Provider：

• 为单个资源指定Provider：在创建S3、ACM、CloudFront等资源时，通过provider参数绑定到带角色假设的AwsProvider实例。
• 为外部模块指定Provider：如果使用第三方Terraform模块，在实例化模块时通过providers参数映射模块内的Provider到自定义的AwsProvider。
• 验证角色配置：
  1. 确认被假设角色的信任策略允许执行账号的SSO角色进行扮演（信任策略需包含执行账号SSO角色的ARN）。
  2. 用AWS CLI测试角色权限：

     # 假设目标角色
     aws sts assume-role --role-arn arn:aws:iam::TARGET_ACCOUNT:role/some-fancy-role --role-session-name test-session
     # 使用返回的凭证执行S3和CloudFront操作，验证权限
     aws s3api head-bucket --bucket di-static-assets-dev-*** --profile assumed-role
     aws cloudfront get-cloud-front-origin-access-identity --id EC5UYRVYS0TS8 --profile assumed-role
     

二、解决Provider类型兼容问题 #

问题原因 #

错误源于导入了不同路径的TerraformProvider（项目内lib与node_modules的重复依赖），且不必要的强制类型转换导致类型不匹配。AwsProvider本身就是TerraformProvider的子类，无需额外转换。

解决方案 #

1. 移除不必要的导入：删除import { TerraformProvider } from "cdktf/lib/terraform-provider";。
2. 直接传递AwsProvider实例：在模块的providers参数中直接传入usEastProvider，无需类型转换。

修改后的代码示例 #

import { TerraformOutput } from "cdktf";
import { S3BucketPolicy } from "@cdktf/provider-aws/lib/s3-bucket-policy";
import { AwsProvider } from "@cdktf/provider-aws/lib/provider";
// 移除多余的TerraformProvider导入

export class CloudfrontS3Construct extends Construct {
    public distribution: Cloudfront;
    public certificate: AcmCertificate;
    constructor(scope: Construct, name: string, props: CloudfrontS3Props) {
        super(scope, name);

        // 配置带角色假设的Provider，建议使用完整ARN避免歧义
        const usEastProvider = new AwsProvider(this, 'usEastProvider', {
            region: 'us-east-1',
            roleToAssume: 'arn:aws:iam::TARGET_ACCOUNT_ID:role/some-fancy-role'
        });

        // 为S3桶指定Provider
        const cloudfrontS3Bucket = new S3Bucket(this, "cloudfrontS3Bucket", {
            bucket: props.s3OverrideName ?? `di-${props.tags.Application}-${props.env}-${props.accountNumber}`,
            tags: props.tags,
            provider: usEastProvider // 绑定到自定义Provider
        });

        let domainName = props.hostedZoneName;
        if (props.recordName !== props.hostedZoneName) {
            domainName = `${props.recordName}.${props.hostedZoneName}`;
        }

        // ACM证书必须在us-east-1，强制指定Provider
        this.certificate = new AcmCertificate(this, "certificate", {
            domainName: domainName,
            validationMethod: "DNS",
            tags: props.tags,
            provider: usEastProvider,
            subjectAlternativeNames: [domainName],
        });

        const CLOUDFRONT_ORGIN_ACCESS_COMMENT = "Terraform managed origin s3 bucket";

        // CloudFront模块直接传递Provider，无需类型转换
        this.distribution = new Cloudfront(this, name, {
            providers: [usEastProvider],
            // 其他CloudFront配置参数...
        });
    }
}

外部模块的Provider配置示例 #

如果使用的是第三方Terraform模块，需通过providers参数映射：

import { CloudfrontModule } from "./.gen/modules/cloudfront"; // 假设是生成的外部模块

// 在构造函数内添加：
const cloudfrontModule = new CloudfrontModule(this, "cloudfront-module", {
  // 模块所需参数...
  providers: {
    aws: usEastProvider // 将模块内的aws Provider映射到自定义的usEastProvider
  }
});

内容的提问来源于stack exchange，提问作者DillDall