Terraform如何指定AWS操作账户？多账户部署最佳实践咨询

1. Terraform 如何确定操作的 AWS 账户 #

和 GCP 通过 project 参数指定目标项目不同，Terraform 对 AWS 账户的识别主要依赖身份凭证的上下文：

• 使用长期访问密钥（不推荐生产环境）时，Terraform 会读取本地凭据文件（~/.aws/credentials）、环境变量或实例元数据中的账户信息；
• 使用 Assume Role 方式时，目标账户由你指定的角色 ARN 决定——ARN 格式为 arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME，其中的 ACCOUNT_ID 直接明确了要操作的账户。

2. Assume Role 是否是多账户部署的最佳实践 #

是的，Assume Role 是 AWS 多账户部署 Terraform 的标准最佳实践之一，尤其适合你这种2个账户的场景。
不过你的计划里把 infra-user 放在 dev 账户中，更规范的做法是单独设置一个 dev-ops 管理账户：将 infra-user 放在这个管理账户下，再让 dev 和 prod 账户的 terraform-role 信任该管理账户的用户/角色。这样做的优势：

• 隔离管理身份与业务账户，避免业务账户权限泄露影响管理身份的安全性；
• 统一管控所有业务账户的 Terraform 操作权限，后续扩展账户时更便捷。

3. 配置计划与猜测验证 #

你的配置步骤逻辑通顺，且你的猜测完全正确：
当 Terraform 通过配置切换到 dev 或 prod 账户的 terraform-role 时，会以该角色的身份在对应账户中执行资源创建/变更操作——因为这个角色本身属于目标账户，扮演角色后所有 API 请求的上下文都会关联到该账户。

内容的提问来源于stack exchange，提问作者user2501711