Terraform多AWS账户访问配置及多场景管理技术问询

1. 配置现有账户S3作为状态后端 #

要把Terraform状态存到独立的现有AWS账户S3桶，直接在terraform块的backend配置中指定角色假设逻辑，用管理账户的IAM用户凭证完成访问。

首先在现有账户创建一个具备S3状态桶读写权限的角色（比如terraform-state-access-role），将其信任策略开放给管理账户的terraform用户；然后在Terraform中配置：

terraform {
  backend "s3" {
    bucket         = "your-existing-account-state-bucket"
    key            = "sandbox/terraform.tfstate"
    region         = "us-east-1"
    role_arn       = "arn:aws:iam::EXISTING_ACCOUNT_ID:role/terraform-state-access-role"
  }
}

Terraform会自动读取当前环境的管理账户IAM用户凭证，完成角色假设后访问S3桶进行状态读写。

2. 用管理账户IAM用户获取沙箱账户临时凭证 #

在AWS Provider块中配置assume_role即可，无需额外手动传递凭证——Terraform会自动读取环境变量中的AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY（或本地~/.aws/credentials配置），用管理账户凭证去假设沙箱账户的terraform角色。

示例配置：

provider "aws" {
  region = "us-east-1"
  assume_role {
    role_arn = "arn:aws:iam::SANDBOX_ACCOUNT_ID:role/terraform-execution-role"
  }
}

只要沙箱账户的terraform-execution-role信任策略包含管理账户的terraform用户（或其所在用户组ARN），就能成功获取临时凭证。

3. 在沙箱账户创建基础设施 #

完成上述Provider配置后，所有资源块会默认使用沙箱账户的临时凭证上下文，直接编写资源代码即可：

resource "aws_vpc" "sandbox_vpc" {
  cidr_block = "10.0.0.0/16"
}

CICD场景适配 #

该方案完全适用于CICD流水线，具体实现方式：

• 将管理账户terraform用户的AK/SK存储在CICD平台的密钥管理系统中（如GitHub Secrets、GitLab CI变量），流水线运行时注入为环境变量。
• 流水线无需额外配置AWS CLI，Terraform会自动读取环境变量中的凭证，先后完成S3后端的角色假设和沙箱账户的角色假设，执行部署流程。
• 若担心密钥泄露，也可使用CICD平台的AWS身份集成能力（如GitHub Actions的aws-actions/configure-aws-credentials），直接获取管理账户的临时凭证使用。

简化多账户访问管理的方法 #

无需为每个目标账户单独编写Provider块，利用Terraform的for_each批量生成即可，两种常见实现方式：

方式1：手动维护账户列表 #

定义变量存储所有目标账户的信息，批量生成Provider：

variable "target_accounts" {
  type = map(object({
    account_id = string
    region     = string
    role_name  = string
  }))
  default = {
    sandbox = {
      account_id = "SANDBOX_ACCOUNT_ID"
      region     = "us-east-1"
      role_name  = "terraform-execution-role"
    }
    staging = {
      account_id = "STAGING_ACCOUNT_ID"
      region     = "eu-west-1"
      role_name  = "terraform-execution-role"
    }
  }
}

provider "aws" {
  for_each = var.target_accounts
  region   = each.value.region
  assume_role {
    role_arn = "arn:aws:iam::${each.value.account_id}:role/${each.value.role_name}"
  }
  alias = each.key
}

# 使用时指定Provider别名
resource "aws_vpc" "sandbox_vpc" {
  provider = aws.sandbox
  cidr_block = "10.0.0.0/16"
}

方式2：自动从Organizations拉取账户 #

若已启用AWS Organizations，可通过数据源自动拉取账户列表，过滤出需要管理的账户：

data "aws_organizations_accounts" "all" {}

locals {
  target_accounts = {
    for acc in data.aws_organizations_accounts.all.accounts :
    acc.name => {
      account_id = acc.id
      region     = "us-east-1"
      role_name  = "terraform-execution-role"
    }
    if acc.status == "ACTIVE" && acc.name != "management" # 排除管理账户
  }
}

# 批量生成Provider
provider "aws" {
  for_each = local.target_accounts
  region   = each.value.region
  assume_role {
    role_arn = "arn:aws:iam::${each.value.account_id}:role/${each.value.role_name}"
  }
  alias = each.key
}

额外优化：结合Workspace隔离环境 #

若每个账户对应不同环境（沙箱、预发、生产），可配合Terraform Workspaces，每个Workspace对应一个目标账户，切换环境仅需切换Workspace即可。

关键权限检查要点 #

• 管理账户的terraform用户所在组必须具备sts:AssumeRole权限，允许访问所有目标账户的terraform*角色。
• 目标账户的terraform*角色信任策略需包含管理账户的terraform用户（或组ARN），示例信任策略：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": "arn:aws:iam::MANAGEMENT_ACCOUNT_ID:user/terraform-user"
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

• 现有账户的S3访问角色需允许管理账户的terraform用户假设，且具备s3:GetObject、s3:PutObject、s3:ListBucket等状态存储所需权限。

内容的提问来源于stack exchange，提问作者John