Terraform导入自定义IAM角色策略附件失败求助

问题分析 #

从你提供的报错和操作来看，核心问题大概率是策略ARN中的账户ID错误，或者策略与角色的关联关系未实际存在。你提到AWS托管策略能正常导入，说明Terraform和AWS Provider的配置本身没问题，问题出在用户托管策略的导入参数或资源状态上。

排查与解决步骤 #

1. 检查账户ID的正确性 #

你提供的策略ARN arn:aws:iam::1234567890123:policy/my-policy 包含13位数字的账户ID，但AWS账户ID是固定12位数字。这是常见的输入错误，会导致Terraform无法找到对应的远程资源。

• 验证正确账户ID：执行AWS CLI命令 aws sts get-caller-identity，输出中的Account字段即为12位正确ID。

2. 确认策略与角色的绑定关系真实存在 #

即使你认为策略已绑定到角色，也需要通过CLI验证：

aws iam list-attached-role-policies --role-name my-role

检查输出的AttachedPolicies列表中是否包含目标策略的ARN。如果没有，说明策略未实际绑定，需要先通过控制台或CLI完成绑定，再执行导入。

3. 修正导入命令并重新执行 #

使用正确的12位账户ID，按照<角色名>/<策略ARN>的格式执行导入：

terraform import aws_iam_role_policy_attachment.my-attachment my-role/arn:aws:iam::123456789012:policy/my-policy

注意：如果ARN中包含特殊字符（这里没有），需要用引号包裹整个ID，但你的场景不需要。

4. 额外排查点 #

• 确认Terraform的AWS Provider配置的区域是否正确：虽然IAM是全局服务，但部分Provider版本对区域配置有依赖，可检查provider "aws"块中的region参数。
• 检查策略是否为用户托管策略：如果是内联策略（通过aws_iam_role_policy资源创建），则无法用aws_iam_role_policy_attachment导入，需改用对应资源的导入方式。

内容的提问来源于stack exchange，提问作者Arrow Root