Terraform切换Workspace时引用IAM角色ARN出现无效前缀错误求助

问题现象 #

切换到非dev的Workspace执行terraform plan时，Lambda函数资源报错：

Error: "role" ({aws_iam_role.mypayload.arn}) is an invalid ARN: arn: invalid prefix

with aws_lambda_function.mylambda,
on main.tf line 64, in resource "aws_lambda_function" "mylambda":
64: role = "${data.terraform_remote_state.remote_state.outputs.mypayload}"

错误显示引用的ARN是未插值的占位符{aws_iam_role.mypayload.arn}，而非实际的IAM Role ARN。

原因分析 #

1. S3 Bucket名称不合法：配置中bucket = "my/bucket/"包含斜杠，违反S3 Bucket命名规则（Bucket名不能含斜杠），导致无法正确定位远程状态文件。
2. 远程状态路径与Workspace配置冲突：同时指定workspace = "dev"和含dev前缀的key路径，造成Terraform找不到正确的状态文件，无法读取已生成的ARN值。
3. 插值语法过时：使用${}包裹引用，在Terraform 0.12+版本中虽兼容，但可能引发解析异常。

解决步骤 #

1. 修正S3 Bucket名称 #

将remote_state配置中的bucket改为合法名称（无斜杠）：

data "terraform_remote_state" "remote_state" {
  backend = "s3"
  # 移除workspace参数或保留后调整key路径，二选一
  # workspace = "dev"
  config = {
    bucket = "my-bucket"  # 替换为实际合法的Bucket名称
    key    = "dev/global/s3/terraform.tfstate"
    region = "us-west-2"
  }
}

2. 对齐远程状态路径与Workspace配置 #

• 若手动按Workspace划分状态文件路径（如dev/xxx/terraform.tfstate）：移除workspace = "dev"参数，直接通过key指定完整路径。
• 若使用Terraform默认Workspace状态管理：保留workspace = "dev"，将key改为不含workspace前缀的路径（如key = "global/s3/terraform.tfstate"），Terraform会自动拼接为env:/dev/global/s3/terraform.tfstate路径。

3. 优化变量引用语法 #

Terraform 0.12+建议直接引用输出值，无需插值符号：

resource "aws_lambda_function" "mylambda" {
  # 其他配置...
  role = data.terraform_remote_state.remote_state.outputs.mypayload
  # 其他配置...
}

4. 验证远程状态有效性 #

切换到dev Workspace，执行terraform state pull，检查输出中mypayload是否为实际的IAM Role ARN（而非占位符），确认状态文件已正确上传到S3对应路径。

5. 重新执行初始化与计划 #

在目标Workspace中执行：

terraform init
terraform plan

额外检查 #

确保dev Workspace中已成功执行terraform apply，IAM Role资源确实存在，且状态文件已同步到S3。

内容的提问来源于stack exchange，提问作者Ivo