如何在Terraform中更新IAM角色的信任关系？

我通过以下外部Terraform模块创建了IAM角色test_role：

module "test_role" {
  source = "terraform.abc/work-role/aws"
  name   = "test_role"
}

该模块创建的IAM角色信任关系如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::1234567890:original"
      },
      "Action": [
        "sts:TagSession",
        "sts:AssumeRoleWithWebIdentity"
      ]
    }
  ]
}

我希望为该角色的信任关系添加一条新语句，最终效果如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::1234567890:original"
      },
      "Action": [
        "sts:TagSession",
        "sts:AssumeRoleWithWebIdentity"
      ]
    },
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::0987654321:role/qa-admin"
      },
      "Action": [
        "sts:TagSession",
        "sts:AssumeRoleWithWebIdentity"
      ]
    }
  ]
}

我的疑问：

• 如何在Terraform中实现这一需求？
• 我曾尝试创建aws_iam_policy_document并通过aws_iam_role_policy_attachment关联到角色，但该策略被添加至Permissions policies而非Trust relationships，请问我哪里操作有误？

错误原因 #

你混淆了IAM角色的两类核心策略：

• Permissions policies：控制角色能执行的AWS操作范围，aws_iam_role_policy_attachment是用来关联这类权限策略的工具，这也是你之前操作的对象。
• Trust relationships：控制哪些实体（账号、角色、服务等）可以扮演该角色，它是IAM角色本身的assume_role_policy属性，和权限策略是完全独立的配置维度。

解决方法 #

根据外部模块的设计，有两种可行方案：

方案1：利用模块自带的扩展参数（优先选择） #

很多成熟的IAM角色模块会提供额外参数（比如additional_trust_statements、trust_policy_extra等）用于扩展信任关系。你可以先查看该模块的文档，确认是否有此类参数。如果存在，直接传入新增的信任语句即可，示例如下：

module "test_role" {
  source = "terraform.abc/work-role/aws"
  name   = "test_role"

  # 假设模块支持additional_trust_statements参数
  additional_trust_statements = [
    {
      Effect = "Allow"
      Principal = {
        AWS = "arn:aws:iam::0987654321:role/qa-admin"
      }
      Action = [
        "sts:TagSession",
        "sts:AssumeRoleWithWebIdentity"
      ]
    }
  ]
}

方案2：导入角色并通过aws_iam_role资源直接修改（模块无扩展参数时使用） #

如果外部模块没有提供扩展信任关系的参数，你可以通过Terraform的import功能将已创建的角色导入本地配置，然后直接管理其信任策略：

1. 执行导入命令，将远程角色关联到本地aws_iam_role资源：

terraform import aws_iam_role.test_role test_role

2. 在配置文件中添加aws_iam_role资源，合并原有信任语句和新语句：

resource "aws_iam_role" "test_role" {
  name = "test_role"

  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      # 保留原有模块创建的信任语句
      {
        Sid = ""
        Effect = "Allow"
        Principal = {
          Federated = "arn:aws:iam::1234567890:original"
        }
        Action = [
          "sts:TagSession",
          "sts:AssumeRoleWithWebIdentity"
        ]
      },
      # 添加新的信任语句
      {
        Sid = ""
        Effect = "Allow"
        Principal = {
          AWS = "arn:aws:iam::0987654321:role/qa-admin"
        }
        Action = [
          "sts:TagSession",
          "sts:AssumeRoleWithWebIdentity"
        ]
      }
    ]
  })

  # 同步模块原有的其他配置（比如路径、描述等，若有）
}

3. 删除原来的module "test_role"配置避免资源冲突，执行terraform plan确认变更后，再执行terraform apply生效。

注意：导入后，该角色的管理将完全由本地aws_iam_role资源接管，后续外部模块的更新不会再影响此角色。

内容的提问来源于stack exchange，提问作者AMDN