Terraform中为CloudTrail授权访问KMS密钥的问题求助

问题分析 #

1. 原始循环引用：KMS密钥资源的policy字段直接引用自身ARN，Terraform需要先生成策略才能创建密钥，但密钥ARN要等资源创建后才能获取，形成循环依赖。
2. Grant方式错误：将CloudTrail trail的ARN作为grantee_principal无效——KMS Grant的受信主体只能是服务主体或IAM实体，而非资源ARN；同时缺少CloudTrail所需的完整KMS操作，且密钥默认策略可能限制了权限。

方案1：修复KMS密钥策略（消除循环引用） #

修改IAM策略文档，利用KMS密钥策略的特性：绑定在密钥上的策略中，resources字段设为["*"]会自动指代当前密钥，避免直接引用未创建的ARN：

resource "aws_kms_key" "cloudtrails-key" {
  description              = "KMS Master Key for trails logs"
  key_usage                = "ENCRYPT_DECRYPT"
  customer_master_key_spec = "SYMMETRIC_DEFAULT"
  deletion_window_in_days  = 30
  is_enabled               = true
  enable_key_rotation      = false
  policy                   = data.aws_iam_policy_document.cloudtrails-key-policy.json
  multi_region             = true
  
  tags = {
    ManagedBy   = "terraform"
    Name        = "${var.project_name}-${var.environment}-${var.aws_account_id}-cloudtrails-key"
    Environment = var.environment
    Usage       = "monitoring"
  }
}

data "aws_iam_policy_document" "cloudtrails-key-policy" {
  statement {
    principals {
      type        = "Service"
      identifiers = ["cloudtrail.amazonaws.com"]
    }

    actions = [
      "kms:Encrypt",
      "kms:Decrypt",
      "kms:ReEncrypt*",
      "kms:GenerateDataKey*",
      "kms:DescribeKey"
    ]

    # 使用*指代当前KMS密钥，彻底消除循环引用
    resources = ["*"]

    condition {
      test     = "ForAnyValue:StringLike"
      variable = "aws:SourceArn"
      values   = toset([for k, v in var.all_account_ids : "arn:aws:cloudtrail:*:${v}:trail/full-cloudtrails"])
    }
  }

  # 保留密钥管理员权限（按需调整IAM实体范围）
  statement {
    principals {
      type        = "AWS"
      identifiers = ["arn:aws:iam::${var.aws_account_id}:root"]
    }

    actions = ["kms:*"]
    resources = ["*"]
  }
}

关键调整点： #

• 替换resources为["*"]，利用KMS策略的内置解析逻辑规避循环。
• 补充CloudTrail所需的完整操作：日志加密流程需要Encrypt/Decrypt/ReEncrypt*/GenerateDataKey*/DescribeKey，缺一不可。
• 添加管理员权限语句，避免密钥创建后无法进行后续管理操作。

方案2：正确使用KMS Grant方式 #

如果偏好使用Grant而非内嵌策略，需修正受信主体格式，补充必要操作，并确保密钥基础策略允许创建Grant：

resource "aws_kms_key" "cloudtrails-key" {
  description              = "KMS Master Key for trails logs"
  key_usage                = "ENCRYPT_DECRYPT"
  customer_master_key_spec = "SYMMETRIC_DEFAULT"
  deletion_window_in_days  = 30
  is_enabled               = true
  enable_key_rotation      = false
  multi_region             = true
  
  # 配置基础密钥策略，允许管理员管理及创建Grant
  policy = data.aws_iam_policy_document.cloudtrails-key-base-policy.json
  
  tags = {
    ManagedBy   = "terraform"
    Name        = "${var.project_name}-${var.environment}-${var.aws_account_id}-cloudtrails-key"
    Environment = var.environment
    Usage       = "monitoring"
  }
}

data "aws_iam_policy_document" "cloudtrails-key-base-policy" {
  statement {
    principals {
      type        = "AWS"
      identifiers = ["arn:aws:iam::${var.aws_account_id}:root"]
    }

    actions = ["kms:*"]
    resources = ["*"]
  }
}

# 为每个账号的CloudTrail创建专属Grant
resource "aws_kms_grant" "cloudtrails-key-grant" {
  for_each = var.all_account_ids
  
  name              = "${each.key}-cloudtrails-key-grant"
  key_id            = aws_kms_key.cloudtrails-key.key_id
  grantee_principal = "cloudtrail.amazonaws.com"
  operations = [
    "Encrypt",
    "Decrypt",
    "ReEncryptFrom",
    "ReEncryptTo",
    "GenerateDataKey",
    "GenerateDataKeyWithoutPlaintext",
    "DescribeKey"
  ]
  
  # 通过约束条件限制仅指定trail可使用该Grant
  constraints {
    encryption_context_subset = {
      "aws:SourceArn" = "arn:aws:cloudtrail:*:${each.value}:trail/full-cloudtrails"
    }
  }
  
  # 指定可撤销Grant的主体（按需调整）
  retiring_principal = "arn:aws:iam::${var.aws_account_id}:root"
}

关键调整点： #

• grantee_principal改用CloudTrail服务主体cloudtrail.amazonaws.com，而非trail的ARN（KMS Grant不支持资源ARN作为受信方）。
• 通过constraints.encryption_context_subset实现trail的权限限制，替代原始策略中的条件判断。
• 补充完整的KMS操作集合，确保CloudTrail日志加密全流程正常。
• 配置基础密钥策略，保证管理员有权创建和管理Grant，避免权限不足错误。

验证步骤 #

1. 执行terraform plan确认无循环引用或配置语法错误。
2. 执行terraform apply完成资源部署。
3. 前往AWS控制台，检查KMS密钥的策略/Grant列表，确认权限配置符合预期。
4. 配置CloudTrail使用该KMS密钥加密日志，验证日志生成正常无权限报错。

内容的提问来源于stack exchange，提问作者picaroon