如何为ARN列表添加Lambda权限并关联S3桶通知依赖？

1. 确认变量定义结构 #

先确保lambda_filters变量的HCL定义符合预期，每个元素包含指定的三个字段：

variable "lambda_filters" {
  type = list(object({
    lambda_function_arn = string
    prefix              = string
    suffix              = string
  }))
  description = "Lambda函数ARN列表，搭配对应的S3过滤前缀/后缀"
}

2. 批量生成Lambda权限资源 #

使用for_each遍历lambda_filters，为每个ARN创建独立的aws_lambda_permission。用ARN+前缀+后缀的组合作为唯一键，避免重复资源：

resource "aws_lambda_permission" "s3_invoke" {
  for_each = {
    for filter in var.lambda_filters :
    "${filter.lambda_function_arn}-${filter.prefix}-${filter.suffix}" => filter
  }

  statement_id  = "AllowS3Invoke-${replace(each.value.lambda_function_arn, "/", "-")}"
  action        = "lambda:InvokeFunction"
  function_name = each.value.lambda_function_arn
  principal     = "s3.amazonaws.com"
  source_arn    = aws_s3_bucket.target_bucket.arn  # 替换为你的目标S3桶ARN
}

3. 配置S3桶通知并关联依赖 #

在aws_s3_bucket_notification中用动态块批量生成通知规则，同时通过depends_on显式依赖所有Lambda权限，确保权限生效后再配置通知：

resource "aws_s3_bucket_notification" "bucket_notif" {
  bucket = aws_s3_bucket.target_bucket.id  # 替换为你的目标S3桶ID

  dynamic "lambda_function" {
    for_each = var.lambda_filters
    content {
      lambda_function_arn = lambda_function.value.lambda_function_arn
      events              = ["s3:ObjectCreated:*"]  # 根据业务需求调整事件类型

      filter_prefix = lambda_function.value.prefix
      filter_suffix = lambda_function.value.suffix
    }
  }

  # 显式依赖所有Lambda权限，避免S3通知因权限未就绪而失败
  depends_on = [aws_lambda_permission.s3_invoke]
}

核心要点 #

• 唯一资源标识：用ARN+前缀+后缀的复合键作为for_each的键，确保同一个ARN对应不同过滤规则时，能生成独立的权限资源。
• 依赖保障：通过depends_on强制S3通知等待所有权限创建完成，避免出现S3调用Lambda时权限未生效的问题。
• 动态适配：dynamic块自动适配lambda_filters的长度，无需手动逐个编写通知规则。

内容的提问来源于stack exchange，提问作者briba