如何用Ansible追加更新AWS IAM策略而非覆盖原有内容？

默认的amazon.aws.iam_policy模块会直接替换策略的全部内容，要实现追加，需要先获取现有策略内容，合并新权限后再更新，具体实现如下：

核心思路 #

• 先获取目标角色上已有的指定策略内容
• 合并现有策略与新策略的权限声明（Statement）
• 用合并后的完整JSON更新策略

完整Ansible剧本示例 #

---
- name: Append IAM policy content to existing policy
  hosts: localhost
  tasks:
    # 获取现有策略的详细信息
    - name: Get existing IAM policy details
      amazon.aws.iam_policy_info:
        iam_type: role
        iam_name: "aws_test_role"
        policy_name: "PrismaCloud-IAM-ReadOnly-Policy"
      register: existing_policy

    # 合并现有策略与新策略的Statement部分
    - name: Merge existing and new policy statements
      set_fact:
        merged_policy_statements: >-
          {% if existing_policy.policies | length > 0 and existing_policy.policies[0].policy_document.Statement is defined %}
            {{ existing_policy.policies[0].policy_document.Statement + (lookup('template','policy.json.j2') | from_json).Statement }}
          {% else %}
            {{ (lookup('template','policy.json.j2') | from_json).Statement }}
          {% endif %}
        merged_policy_version: >-
          {% if existing_policy.policies | length > 0 and existing_policy.policies[0].policy_document.Version is defined %}
            "{{ existing_policy.policies[0].policy_document.Version }}"
          {% else %}
            "2012-10-17"
          {% endif %}

    # 构造合并后的完整策略JSON
    - name: Build merged policy JSON
      set_fact:
        merged_policy_json: >-
          {
            "Version": {{ merged_policy_version }},
            "Statement": {{ merged_policy_statements | to_json }}
          }

    # 更新IAM策略，此时为追加后的完整内容
    - name: Update IAM Managed Policy with merged content
      amazon.aws.iam_policy:
        iam_type: role
        iam_name: "aws_test_role"
        policy_name: "PrismaCloud-IAM-ReadOnly-Policy"
        policy_json: "{{ merged_policy_json }}"
        state: present

关键细节说明 #

1. 策略获取：通过iam_policy_info模块拉取目标策略的当前内容，结果存入existing_policy变量供后续使用。
2. 合并逻辑：
   • 若策略已存在且包含Statement，则将现有声明与新模板生成的声明合并；
   • 若策略不存在，直接使用新模板的内容；
   • 保留原策略的Version字段，无则使用IAM标准版本2012-10-17。
3. 可选去重处理：如果需要避免重复的权限声明，可在合并Statement时添加去重逻辑，比如通过unique过滤器，根据Effect、Action和Resource的组合来剔除重复项。

内容的提问来源于stack exchange，提问作者wwe34124