如何用Terraform为每个IAM组批量创建策略及策略关联

你已经通过for_each批量创建了IAM组：

resource "aws_iam_group" "all_iam_groups" {
  for_each = var.iam_user_groups
  name     = "${local.csi}-${each.key}"
  path     = "/"
}

现在要实现批量创建对应策略并关联，无需手动逐个编写资源，可以按以下方式处理：

1. 调整变量结构（可选但推荐） #

如果你的var.iam_user_groups原本是简单列表，建议改成映射类型，让每个组名对应到其关联的策略文档标识，比如：

variable "iam_user_groups" {
  type = map(string)
  default = {
    finance_team = "finance_read_only"
    security_team = "security_read_only"
  }
}

这里的value是你已创建的aws_iam_policy_document资源的key（假设你用for_each创建了这些策略文档）。

2. 批量创建IAM策略 #

利用for_each遍历var.iam_user_groups，为每个组生成对应的策略：

resource "aws_iam_policy" "group_policies" {
  for_each = var.iam_user_groups
  name     = "${local.csi}-${each.key}-read-only"
  path     = "/"
  # 引用对应的策略文档，这里假设data资源用for_each创建，key和var的value一致
  policy = data.aws_iam_policy_document.group_policy_docs[each.value].json
}

如果你的策略文档是单独命名的（比如data.aws_iam_policy_document.finance_read_only），也可以通过动态引用直接关联：

policy = data.aws_iam_policy_document[each.value].json

3. 批量关联策略到IAM组 #

同样用for_each遍历，将每个策略绑定到对应的IAM组：

resource "aws_iam_group_policy_attachment" "group_policy_attachments" {
  for_each = var.iam_user_groups
  group      = aws_iam_group.all_iam_groups[each.key].name
  policy_arn = aws_iam_policy.group_policies[each.key].arn
}

说明 #

• 如果你已经单独创建了每个aws_iam_policy_document（比如finance_read_only、security_read_only），确保var.iam_user_groups的value和这些资源的名称一致，就能正确引用到对应的策略文档内容。
• 整个流程通过for_each统一遍历变量，实现组、策略、关联的批量创建，后续新增组只需在变量中添加条目即可，无需修改资源代码。

内容的提问来源于stack exchange，提问作者Kaysss