Terraform配置：如何根据create_role控制lambda_role_arn的必填性

要实现**仅当create_role为false时必须提供lambda_role_arn，create_role为true时允许lambda_role_arn为null**的约束，可以通过Terraform的变量验证规则和资源条件创建来实现，具体修改如下：

1. 修正变量定义与验证逻辑 #

调整lambda_role_arn变量的默认值为null，并添加验证规则强制约束：

variable "create_role" {
  description = "控制是否为Lambda函数创建IAM角色"
  type        = bool
  default     = true
}

variable "lambda_role_arn" {
  description = "附加到Lambda函数的IAM角色ARN，控制函数的调用权限与资源访问权限"
  type        = string
  default     = null # 默认设为null，仅当create_role为false时必须提供

  validation {
    condition     = var.create_role || (var.lambda_role_arn != null)
    error_message = "当create_role设为false时，必须指定lambda_role_arn的值。"
  }
}

2. 条件创建IAM角色 #

使用count控制IAM角色的创建，仅当create_role为true时才创建该角色，避免空引用错误：

resource "aws_iam_role" "lambda" {
  count = var.create_role ? 1 : 0

  name = "lambda-execution-role"
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = "sts:AssumeRole"
        Effect = "Allow"
        Principal = {
          Service = "lambda.amazonaws.com"
        }
      }
    ]
  })

  # 可按需添加权限策略附件
}

3. 修正Lambda函数的角色引用 #

确保角色引用逻辑正确，当创建角色时使用新创建的ARN，否则使用指定的已有角色ARN：

resource "aws_lambda_function" "lambda_function" {
  function_name = "your-function-name" # 替换为实际函数名或变量
  role          = var.create_role ? aws_iam_role.lambda[0].arn : var.lambda_role_arn

  # 补充其他Lambda必填参数，比如runtime、handler、filename等
  runtime = "python3.12"
  handler = "index.lambda_handler"
  filename = "lambda_function.zip"
}

逻辑说明 #

• 当create_role = true时：自动创建IAM角色，lambda_role_arn可以留空（默认null），Lambda使用新创建的角色ARN。
• 当create_role = false时：Terraform会触发变量验证，强制要求提供lambda_role_arn的值，否则报错阻止执行。

内容的提问来源于stack exchange，提问作者16069229