Terraform多组件引用SSM参数遇ParameterNotFound错误求助

针对你在Lambda组件中引用已存在的SSM参数却触发ParameterNotFound错误的问题，以下是排查和解决思路：

1. 明确组件间的依赖关系 #

Lambda组件的data块可能在Subnets组件创建SSM参数前就执行了读取操作——即使控制台已存在参数，Terraform的资源执行顺序由依赖图决定，无明确依赖时可能出现时序问题。

解决方案：
通过组件输出传递参数名，让Terraform自动建立依赖链：

• 在components/subnets/output.tf中添加输出：

output "ssm_public_subnet_name" {
  value = aws_ssm_parameter.ssm_public_subnet.name
}

• 在Lambda组件的根模块中引用Subnets组件的输出，再传递给data块：

module "subnets" {
  source = "../subnets"
  # 其他必要配置参数
}

data "aws_ssm_parameter" "ssm_public_subnet" {
  name = module.subnets.ssm_public_subnet_name
}

2. 检查执行角色的SSM权限 #

Lambda组件使用的Terraform执行角色可能缺少ssm:GetParameter权限，而Core组件的角色具备该权限，导致权限不足触发"找不到参数"的错误（控制台可见不代表执行角色有权限）。

解决方案：
给Lambda组件的执行角色添加IAM权限策略：

{
  "Effect": "Allow",
  "Action": "ssm:GetParameter",
  "Resource": "arn:aws:ssm:${你的区域}:${你的账号ID}:parameter/public-subnet-irl"
}

3. 验证Provider区域一致性 #

确认Lambda组件的AWS Provider配置区域与Subnets组件完全一致，即使控制台显示在同一区域，Provider配置的拼写错误（如us-east-1写成us-east-2）也会导致跨区域查找失败。

解决方案：
在根模块统一配置Provider区域，确保所有子组件继承该配置：

provider "aws" {
  region = "你的目标区域"
}

避免在子组件中重复定义不同的区域配置。

4. 排查参数名称匹配问题 #

虽然AWS SSM参数名称大小写不敏感，但手动输入时可能出现拼写错误、空格或特殊字符偏差，导致data块匹配失败。

解决方案：
直接复制Subnets组件中aws_ssm_parameter块的name值到Lambda组件的data块中，避免手动输入错误。

5. 同步Terraform状态 #

如果是团队协作场景，Lambda组件的Terraform状态可能未同步，或使用了独立的状态文件，导致Terraform无法识别已存在的SSM参数。

解决方案：

• 执行terraform refresh刷新Lambda组件的本地状态，使其与AWS实际资源对齐；
• 确保所有组件使用同一远程状态存储（如S3+DynamoDB），避免状态隔离。

内容的提问来源于stack exchange，提问作者varunakuraju