Terraform集成WAFv2日志配置时ARN无效问题求助

针对你遇到的ARN格式无效错误，以下是几个常见原因及排查方案：

可能的原因1：日志组名称变量异常 #

如果var.waf_log_group_name变量未正确赋值（比如为空、包含非法字符），会导致生成的CloudWatch日志组ARN格式不符合要求。CloudWatch日志组名称仅允许使用字母、数字、以及-._/这些特殊字符，且不能以/开头。

解决方案：
先暂时硬编码一个合法的日志组名称测试，替换变量引用：

resource "aws_cloudwatch_log_group" "test_waf_log_group" {
  name              = "test-waf-logs-2024"
  retention_in_days = 14
}

可能的原因2：WAF ACL的ARN引用问题 #

错误提示里的无效ARN不一定来自日志组，也可能是aws_wafv2_web_acl.test_waf.arn引用的资源有问题：

• 确认aws_wafv2_web_acl.test_waf这个资源在你的配置中确实存在，且已经成功创建
• 检查该资源的ARN格式是否符合arn:aws:wafv2:<区域>:<账号ID>:webacl/<名称>/<ID>的规范

可能的原因3：不必要的depends_on干扰 #

Terraform通过资源引用（比如aws_cloudwatch_log_group.test_waf_log_group.arn）会自动建立依赖关系，手动添加depends_on不仅多余，还可能掩盖其他依赖问题。直接移除该配置即可。

额外排查步骤 #

1. 执行terraform state show aws_cloudwatch_log_group.test_waf_log_group，查看日志组的实际ARN值，确认格式以arn:aws:logs:开头，包含区域、账号ID和正确的日志组名称。
2. 检查Terraform Provider的AWS区域配置，确保日志组和WAF ACL处于同一区域，跨区域的日志组ARN会被WAF判定为无效。

修改后的完整示例代码：

resource "aws_cloudwatch_log_group" "test_waf_log_group" {
  name              = "test-waf-logs-2024"
  retention_in_days = 14
}

resource "aws_wafv2_web_acl_logging_configuration" "log_test_waf" {
  log_destination_configs = [aws_cloudwatch_log_group.test_waf_log_group.arn]
  resource_arn            = aws_wafv2_web_acl.test_waf.arn
}

内容的提问来源于stack exchange，提问作者Madhawa