Terraform：如何确保IAM实例Profile绑定策略后再创建依赖资源

你遇到的核心问题是：Terraform 默认仅等待 IAM 角色创建完成，但角色与策略的绑定是独立的后续操作。当 Lambda 启用 DLQ 时，角色还未完成sqs:SendMessage权限策略的绑定，导致权限不足。

方案1：调整Instance Profile模块的输出依赖（最简洁） #

修改../iam/instance-profile模块，让role_arn输出明确依赖策略绑定资源。这样外部引用该输出时，Terraform会自动等待策略绑定完成，无需修改Lambda侧的配置。

模块内的配置示例：

# iam/instance-profile/main.tf
resource "aws_iam_role" "this" {
  name = var.role_name
  # 其他角色配置...
}

# 假设模块内通过该资源绑定外部策略ARN
resource "aws_iam_role_policy_attachment" "external_policies" {
  count      = length(var.policy_arns)
  role       = aws_iam_role.this.name
  policy_arn = var.policy_arns[count.index]
}

# 假设模块内通过该资源创建内联策略
resource "aws_iam_role_policy" "inline_policies" {
  count = length(var.policy_jsons)
  name  = "${var.role_name}-policy-${count.index}"
  role  = aws_iam_role.this.id
  policy = var.policy_jsons[count.index]
}

# 输出role_arn时，依赖所有策略绑定资源
output "role_arn" {
  value      = aws_iam_role.this.arn
  depends_on = [
    aws_iam_role_policy_attachment.external_policies,
    aws_iam_role_policy.inline_policies
  ]
}

此时Lambda侧的原配置无需修改：

module "instance_profile" {
  source                   = "../iam/instance-profile"
  policy_jsons             = var.policy_jsons
  policy_arns              = var.policy_arns
}

resource "lambda"{
  source = ../       
  policy_arns = data.policy
  dlq = var.dlq

  depends_on = [
    module.instance_profile.role_arn
  ]
}

方案2：让Lambda直接依赖策略绑定资源 #

如果无法修改Instance Profile模块，可以在Lambda所在模块中，让depends_on直接引用模块内的策略绑定资源（需先在模块中输出这些资源）。

首先在Instance Profile模块添加输出：

# iam/instance-profile/outputs.tf
output "policy_attachments" {
  value = aws_iam_role_policy_attachment.external_policies
}

output "inline_policies" {
  value = aws_iam_role_policy.inline_policies
}

然后修改Lambda配置：

module "instance_profile" {
  source                   = "../iam/instance-profile"
  policy_jsons             = var.policy_jsons
  policy_arns              = var.policy_arns
}

resource "lambda"{
  source = ../       
  policy_arns = data.policy
  dlq = var.dlq

  depends_on = [
    module.instance_profile.policy_attachments,
    module.instance_profile.inline_policies
  ]
}

IAM角色的创建（aws_iam_role）与策略绑定（aws_iam_role_policy_attachment/aws_iam_role_policy）是两个独立的Terraform资源，默认不存在隐式依赖。仅依赖角色ARN只能确保角色已创建，无法保证策略绑定完成。

内容的提问来源于stack exchange，提问作者steve