能否用Terraform分流水线创建IAM角色并后续添加assume_role_policy？

可以实现，但要先明确一个关键点：AWS IAM角色必须附带信任策略（即assume_role_policy）才能被创建，所以你没法直接生成一个完全没有信任策略的空角色。不过可以通过「临时策略占位+后续更新」的方式满足你的流水线分步需求：

具体实现步骤 #

流水线1：创建带临时信任策略的角色 #

第一步先创建角色时，指定一个权限范围极小的临时信任策略（比如仅允许当前流水线的执行角色或内部管理角色能 assume 该角色），确保安全的同时满足角色创建的必填要求。示例代码：

resource "aws_iam_role" "target_role" {
  name = "my-target-role"
  
  # 临时信任策略：仅允许当前账号下的流水线执行角色 Assume
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = "sts:AssumeRole"
        Effect = "Allow"
        Principal = {
          AWS = "arn:aws:iam::${data.aws_caller_identity.current.account_id}:role/pipeline-execution-role"
        }
      }
    ]
  })
}

data "aws_caller_identity" "current" {}

流水线2：更新角色的信任策略为最终版本 #

第二步获取到所需参数后，直接更新同一个aws_iam_role资源的assume_role_policy字段即可。Terraform会识别到角色已存在，自动调用AWS的iam:UpdateAssumeRolePolicy接口完成更新。示例代码：

resource "aws_iam_role" "target_role" {
  name = "my-target-role"
  
  # 最终信任策略：使用第二步获取到的外部主体ARN
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = "sts:AssumeRole"
        Effect = "Allow"
        Principal = {
          AWS = var.external_principal_arn # 第二步传入的参数
        }
      }
    ]
  })
}

关键注意事项 #

• 状态共享：两个流水线必须使用同一个Terraform后端（比如S3+DynamoDB锁），确保流水线2能读取到流水线1创建的角色状态，避免重复创建。
• 权限配置：流水线1需要iam:CreateRole权限；流水线2需要iam:UpdateAssumeRolePolicy权限。
• 临时策略安全性：临时策略的权限范围要尽可能小，比如仅限制为流水线自身的执行角色，避免期间有未授权实体访问角色。

内容的提问来源于stack exchange，提问作者Djoby