Terraform部署时IAM策略及关联未创建，Lambda权限报错求助

以下是针对你遇到的问题的核心排查方向：

1. 确认资源依赖关系是否正确 #

Terraform 依赖隐式或显式的资源关联来保证创建顺序，如果 IAM Policy Attachment 没有正确关联到 Lambda 执行角色，可能导致资源被跳过：

• 确保 aws_iam_role_policy_attachment 直接引用你创建的角色和 Policy 资源，而非硬编码值，这样 Terraform 会自动建立依赖链：

  resource "aws_iam_role_policy_attachment" "lambda_ec2_access" {
    role       = aws_iam_role.lambda_exec_role.name
    policy_arn = aws_iam_policy.lambda_ec2_policy.arn
  }
  

• 如果角色是通过数据源（如 data "aws_iam_role"）获取的，需要手动添加 depends_on 确保角色存在后再创建 Attachment。

2. 检查 Policy 资源的创建条件与内容 #

• 查看 terraform apply 详细输出，确认 aws_iam_policy 是否真的被执行创建。如果使用了 count 或 for_each 条件，检查变量值是否满足创建条件（比如 count = var.enable_ec2_access ? 1 : 0 中变量是否为 true）。
• 验证 Policy 内容是否包含所需权限，Lambda 部署到 VPC 时需要完整的网络接口管理权限：

  resource "aws_iam_policy" "lambda_ec2_policy" {
    name        = "lambda-ec2-network-access"
    description = "Allow Lambda to manage EC2 network interfaces for VPC deployment"
  
    policy = jsonencode({
      Version = "2012-10-17"
      Statement = [
        {
          Effect   = "Allow"
          Action   = [
            "ec2:CreateNetworkInterface",
            "ec2:DeleteNetworkInterface",
            "ec2:DescribeNetworkInterfaces",
            "ec2:DescribeSubnets",
            "ec2:DescribeSecurityGroups"
          ]
          Resource = "*"
        }
      ]
    })
  }
  

3. 验证 Lambda 执行角色的信任策略 #

如果角色的信任策略未授权 Lambda 服务承担该角色，即使 Policy 附着成功，Lambda 也无法使用该角色，会触发权限报错：

resource "aws_iam_role" "lambda_exec_role" {
  name = "lambda-execution-role"

  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Principal = {
          Service = "lambda.amazonaws.com"
        }
        Action = "sts:AssumeRole"
      }
    ]
  })
}

4. 排查 Terraform 状态一致性问题 #

• 执行 terraform state list，检查 aws_iam_policy 和 aws_iam_role_policy_attachment 是否存在于状态中。如果状态中存在但 AWS 实际无对应资源，执行 terraform apply -refresh-only 刷新状态。
• 如果状态中存在无效资源，使用 terraform state rm <resource_address> 移除后重新执行 Apply。

5. 检查模块或资源冲突 #

• 如果使用了第三方 Terraform 模块，确认模块是否创建了同名的角色或 Policy，导致当前资源被跳过。
• 检查是否有其他 IAM 策略附着在同一角色上，是否存在权限覆盖（此情况一般不会导致资源跳过，但可能引发权限缺失）。

内容的提问来源于stack exchange，提问作者thom4s94