使用Terraform创建AWS CloudFront响应头策略时遇参数验证错误

AWS CloudFront的API对响应头策略的CORS配置有严格的参数验证规则：如果显式声明了AccessControlAllowHeaders，则必须同时提供非空的Items列表和对应的Quantity值；如果没有需要配置的允许头部，不能传入空的Items数组，而是要完全省略这个配置块。

当你在Terraform中给access_control_allow_headers的items设为空数组时，Terraform会向AWS API发送包含Items: []和Quantity: 0的结构，这不符合API的验证逻辑，从而触发"Items和Quantity字段缺失"的错误。

解决办法 #

1. 直接省略AccessControlAllowHeaders配置块

如果不需要配置允许的自定义头部，直接从cors_config中移除access_control_allow_headers块即可：

错误示例（触发验证错误）：

resource "aws_cloudfront_response_headers_policy" "my_policy" {
  name = "my-cors-policy"

  cors_config {
    access_control_allow_origins {
      items = ["https://example.com"]
    }
    access_control_allow_methods {
      items = ["GET", "POST"]
    }
    # 空数组触发错误
    access_control_allow_headers {
      items = []
    }
  }
}

修正后代码：

resource "aws_cloudfront_response_headers_policy" "my_policy" {
  name = "my-cors-policy"

  cors_config {
    access_control_allow_origins {
      items = ["https://example.com"]
    }
    access_control_allow_methods {
      items = ["GET", "POST"]
    }
    # 直接省略access_control_allow_headers块
  }
}

2. 用动态块实现条件性配置（适合需要根据变量控制的场景）

如果需要通过变量动态决定是否配置允许头部，可以使用Terraform的动态块，仅当有非空的头部列表时才生成access_control_allow_headers块：

variable "allowed_headers" {
  type    = list(string)
  default = []
}

resource "aws_cloudfront_response_headers_policy" "my_policy" {
  name = "my-cors-policy"

  cors_config {
    access_control_allow_origins {
      items = ["https://example.com"]
    }
    access_control_allow_methods {
      items = ["GET", "POST"]
    }

    # 仅当allowed_headers非空时才生成该块
    dynamic "access_control_allow_headers" {
      for_each = var.allowed_headers != [] ? [var.allowed_headers] : []
      content {
        items = access_control_allow_headers.value
      }
    }
  }
}

验证修改 #

运行terraform plan检查是否不再出现参数验证错误，确认无误后执行terraform apply即可完成策略更新。

内容的提问来源于stack exchange，提问作者Héctor Valls