如何通过Terraform确保组引用的Vault策略真实存在？

要避免YAML配置里的策略拼写错误，确保组引用的策略真实存在，可以通过以下几种方式实现：

1. 在变量定义阶段添加验证规则 #

直接在var.config的变量声明中加入validation块，提前检查所有组引用的策略是否都在策略列表中：

variable "config" {
  type = object({
    policies = map(any)
    groups   = map(object({
      type     = string
      policies = list(string)
    }))
  })

  validation {
    # 遍历所有组，检查每个组的策略都存在于policies的键中
    condition     = alltrue([for group in var.config.groups : alltrue([for policy in group.policies : contains(keys(var.config.policies), policy)])])
    error_message = "配置错误：部分组引用了不存在的策略，请检查YAML文件中的拼写。"
  }
}

这种方式会在terraform plan或terraform init阶段就触发检查，提前拦截无效配置。

2. 在groups模块内添加前置条件 #

如果需要更精准的错误提示，可以在groups模块内部的资源中添加precondition。首先在调用模块时传入所有策略的键列表，然后在模块内验证：

调用groups模块时： #

module "groups" {
  source             = "../../../../path/to/my/custom/modules/groups"
  for_each           = var.config.groups
  name               = each.key
  type               = each.value.type
  policies           = each.value.policies
  existing_policies  = keys(module.policies) # 传入已定义的策略名称列表

  depends_on = [module.policies]
}

在groups模块内部的资源中添加验证： #

resource "aws_iam_group" "main" {
  name = var.name

  precondition {
    # 检查当前组的所有策略都在已存在的列表中
    condition     = alltrue([for p in var.policies : contains(var.existing_policies, p)])
    error_message = "组${var.name}引用了无效策略：${join(", ", [for p in var.policies : p if !contains(var.existing_policies, p)])}，请修正配置。"
  }
}

3. 直接引用策略模块的输出（最严格方式） #

放弃传递字符串名称，改为直接引用module.policies的输出值。如果policies模块输出了每个策略的ARN或其他标识，组模块直接引用这些存在的资源：

module "groups" {
  source   = "../../../../path/to/my/custom/modules/groups"
  for_each = var.config.groups

  name     = each.key
  type     = each.value.type
  # 直接引用策略模块的输出，不存在的策略会直接触发Terraform错误
  policies = [for p_name in each.value.policies : module.policies[p_name].policy_arn]

  depends_on = [module.policies]
}

这种方式下，若YAML中出现拼写错误，Terraform会在规划阶段直接提示module.policies["错误策略名"]不存在，从根源上杜绝无效引用。

内容的提问来源于stack exchange，提问作者pkaramol