Terraform导入AWS S3 Bucket ACL遇MalformedACLError问题求助

问题根源分析 #

你的aws_s3_bucket_acl资源代码存在两个核心问题，直接导致S3的XML格式验证失败：

• Grant块缺少被授权者唯一标识：仅指定type = "CanonicalUser"但未补充对应的id字段，S3要求ACL必须明确指定被授权者的Canonical User ID，否则生成的XML不符合schema规范。
• 冗余的owner块配置：使用access_control_policy时，Terraform会自动从AWS获取桶的所有者信息，手动定义owner块会破坏XML结构的合法性，尤其是在资源已导入状态后，重复定义会引发冲突。

修正后的代码示例 #

标准ACL配置（自定义授权） #

resource "aws_s3_bucket_acl" "mybucket_acl" {
  bucket = aws_s3_bucket.mybucket.id
  access_control_policy {
    grant {
      grantee {
        type        = "CanonicalUser"
        id          = "<你的Canonical User ID>"  # 必填：补充被授权者的Canonical ID
        display_name = "<可选：用户显示名称>"
      }
      permission = "FULL_CONTROL"
    }
  }
}

简化配置（针对所有者权限） #

如果只是需要给桶所有者配置FULL_CONTROL，直接使用预定义ACL策略更简洁，避免手动编写复杂的XML结构：

resource "aws_s3_bucket_acl" "mybucket_acl" {
  bucket = aws_s3_bucket.mybucket.id
  acl    = "private"  # private策略默认授予所有者FULL_CONTROL，满足常规需求
}

额外注意事项 #

• 关于你提到的GitHub Issue #28230：该问题涉及Terraform AWS Provider在ACL导入后apply阶段的XML生成bug，建议升级到v4.0.0及以上版本的AWS Provider，新版本已修复该类兼容性问题。
• 执行terraform apply时无需添加-target参数（除非仅需更新ACL资源），确保整体配置的一致性。

内容的提问来源于stack exchange，提问作者nabello