如何用Terraform批量配置多Lambda函数的S3触发权限？

1. 改造现有lambda_s3_events模块，支持批量输入 #

首先调整模块的变量定义，让它能接收一组Lambda函数的配置信息。在模块的variables.tf中添加：

variable "lambda_functions" {
  type = list(object({
    function_name = string
    s3_bucket     = string
    event_pattern = optional(string, "s3:ObjectCreated:*")
    # 可按需添加过滤前缀、后缀等额外参数
  }))
  description = "需要配置S3触发权限的Lambda函数集合"
}

接着在模块的main.tf中，用for_each遍历这个列表，批量生成调用权限和S3触发规则：

# 批量创建Lambda调用权限
resource "aws_lambda_permission" "s3_invoke" {
  for_each = { for func in var.lambda_functions : func.function_name => func }

  statement_id  = "AllowS3Invoke-${each.value.function_name}"
  action        = "lambda:InvokeFunction"
  function_name = each.value.function_name
  principal     = "s3.amazonaws.com"
  source_arn    = "arn:aws:s3:::${each.value.s3_bucket}"
}

# 批量配置S3桶通知
resource "aws_s3_bucket_notification" "lambda_trigger" {
  for_each = { for func in var.lambda_functions : func.function_name => func }

  bucket = each.value.s3_bucket

  lambda_function {
    lambda_function_arn = "arn:aws:lambda:${var.region}:${var.account_id}:function:${each.value.function_name}"
    events              = [each.value.event_pattern]
    # 如有需要，添加 filter_prefix = "uploads/" 这类过滤规则
  }
}

提示：如果Lambda的ARN是在外部模块定义的，建议直接把ARN加入变量结构，避免手动拼接出错。

2. 根模块中调用改造后的模块 #

仅需一次模块调用，传入三个Lambda的配置即可完成批量设置：

module "lambda_s3_events" {
  source = "./modules/lambda_s3_events" # 替换为你的模块实际路径

  lambda_functions = [
    {
      function_name = "lambda1"
      s3_bucket     = "your-target-bucket-1"
    },
    {
      function_name = "lambda2"
      s3_bucket     = "your-target-bucket-2"
      event_pattern = "s3:ObjectCreated:Put"
    },
    {
      function_name = "lambda3"
      s3_bucket     = "your-target-bucket-3"
      event_pattern = "s3:ObjectRemoved:*"
    }
  ]
}

关键说明 #

• 优先用for_each而非count：for_each以函数名作为唯一标识，后续调整列表（新增、删除Lambda）时，Terraform只会变更对应资源，不会批量重建，更安全。
• 多Lambda共享同一桶的处理：直接在列表中重复填写桶名即可，Terraform会自动合并该桶的通知规则。

内容的提问来源于stack exchange，提问作者Divya