Terraform配置AWS KMS Key生命周期前置条件报错排查

错误原因 #

1. Precondition逻辑完全反转：Terraform的lifecycle precondition要求condition必须返回true，若返回false则触发错误。你当前的condition是var.policy == null && var.key_type == "direct" && length(values(var.direct_key_principal)[0]) > 0，意思是“仅当policy为空、key_type是direct且principal非空时才满足条件”——这和你的需求完全相反。当你设置了policy时，var.policy == null为false，整个condition返回false，直接触发错误。
2. Principal检查不全面：仅取values(var.direct_key_principal)[0]检查第一个principal类型的列表，无法覆盖所有可能的principal类型（比如后续添加Service类型）。

修正步骤 #

1. 修正Precondition逻辑 #

将condition改为：要么不是“无policy且key_type为direct”的场景，要么是该场景但所有principal列表都非空。

2. 完善Principal非空检查 #

用alltrue遍历所有principal类型对应的列表，确保每个列表都不为空。

3. 确认var.policy定义 #

必须将var.policy的默认值设为null，避免空字符串等非null值干扰逻辑判断。

修正后的完整代码 #

# 先确认var.policy的定义（如果之前没正确设置）
variable "policy" {
  description = "Optional custom IAM policy for KMS key"
  type        = string
  default     = null
}

variable "key_type" {
  description = "Type of KMS key (direct or other)"
  type        = string
  default     = "direct"
}

resource "aws_kms_key" "direct_key" {
  description              = var.description
  enable_key_rotation      = true
  deletion_window_in_days  = var.deletion_window
  policy                   = var.policy != null ? var.policy : data.aws_iam_policy_document.kms_key_policy_direct[0].json
  key_usage                = var.key_usage
  customer_master_key_spec = var.customer_master_key_spec

  lifecycle {
    precondition {
      # 逻辑：如果是无policy且direct类型的场景，必须所有principal列表非空；否则无需检查
      condition     = !(var.policy == null && var.key_type == "direct") || alltrue([for principals in values(var.direct_key_principal) : length(principals) > 0])
      error_message = "When the policy is not set and the key type is direct, all direct_key_principal elements should be non-empty."
    }
  }
}

variable "direct_key_principal" {
  description = "Principal Information - Type & Identifier required for a 'direct' key"
  type        = map(list(string))
  default = {
    AWS = []
  }
  validation {
    condition     = alltrue([for principal_type in keys(var.direct_key_principal) : contains(["AWS", "Service"], principal_type)])
    error_message = "Valid values for Principal type are AWS and Service."
  }
}

验证逻辑说明 #

• 当你设置了var.policy时，!(var.policy == null && var.key_type == "direct")为true，整个condition返回true，precondition不会触发错误。
• 当未设置var.policy且key_type为direct时，会检查所有direct_key_principal的列表是否非空，若有任何一个列表为空，condition返回false，触发错误提示。

内容的提问来源于stack exchange，提问作者doctore