将AFT预配置账户加入AWS组织子OU的Terraform配置问题

方法1：通过AWS Organizations数据源动态获取子OU信息 #

在Terraform配置中引入aws_organizations_organizational_unit数据源，根据父OU名称或ID定位子OU，直接提取子OU的ID赋值给ManagedOrganizationalUnit：

data "aws_organizations_organizational_unit" "target_child_ou" {
  parent_id = "父OU的ID或ARN"
  name      = "目标子OU的名称"
}

module "aft_account_provisioning" {
  source = "aws-ia/account-factory/aws"

  # 其他必要参数...
  ManagedOrganizationalUnit = data.aws_organizations_organizational_unit.target_child_ou.id
}

如果需要通过父OU名称动态获取父OU ID，可以再加一层数据源：

data "aws_organizations_organization" "org" {}

data "aws_organizations_organizational_unit" "parent_ou" {
  parent_id = data.aws_organizations_organization.org.roots[0].id
  name      = "父OU名称"
}

data "aws_organizations_organizational_unit" "target_child_ou" {
  parent_id = data.aws_organizations_organizational_unit.parent_ou.id
  name      = "目标子OU的名称"
}

方法2：利用AFT自定义变量传递OU信息 #

如果直接使用数据源存在权限或配置限制，可以在AFT的账户请求模板中添加自定义变量，将目标子OU的ID作为参数传入Terraform模块：

1. 在AFT的账户自定义模板中定义变量：

variable "target_ou_id" {
  type        = string
  description = "目标子OU的ID"
}

2. 在AFT控制台提交账户请求时填入目标子OU的ID，或通过自动化流程传递该参数，然后在模块中引用：

module "aft_account_provisioning" {
  source = "aws-ia/account-factory/aws"

  # 其他必要参数...
  ManagedOrganizationalUnit = var.target_ou_id
}

方法3：检查AFT版本与参数格式 #

确认你使用的AFT Terraform模块版本是否支持直接传入子OU ID。部分旧版本的AFT可能要求ManagedOrganizationalUnit传入父OU的ID，再通过额外的organizational_unit_name参数指定子OU名称，配置示例如下：

module "aft_account_provisioning" {
  source = "aws-ia/account-factory/aws"

  # 其他必要参数...
  ManagedOrganizationalUnit = "父OU的ID"
  organizational_unit_name   = "目标子OU的名称"
}

内容的提问来源于stack exchange，提问作者rihem lahmar