Terraform配置AWS Secrets Manager IAM资源访问策略报错求助

实现方案 #

直接利用Terraform的jsonencode函数处理元组类型的iam_roles列表，自动转换为IAM策略所需的JSON数组格式，避免手动字符串拼接引发的错误。

完整代码示例 #

1. 变量结构（YAML解码后的var.secrets） #

variable "secrets" {
  type = list(object({
    name      = string
    secret    = string
    iam_roles = list(string) # 存储允许访问的IAM角色/用户ARN列表
  }))
}

2. 创建Secret及关联访问策略 #

# 批量创建Secrets Manager密钥
resource "aws_secretsmanager_secret" "main" {
  for_each = { for secret in var.secrets : secret.name => secret }

  name = each.value.name
}

# 批量设置Secret值
resource "aws_secretsmanager_secret_version" "main" {
  for_each = aws_secretsmanager_secret.main

  secret_id     = each.value.id
  secret_string = each.value.secret
}

# 批量生成资源访问策略
resource "aws_secretsmanager_secret_policy" "main" {
  for_each = aws_secretsmanager_secret.main

  secret_id = each.value.id
  policy    = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect    = "Allow"
        Principal = {
          AWS = each.value.iam_roles # Terraform列表自动转为JSON数组
        }
        Action   = "secretsmanager:GetSecretValue"
        Resource = "*"
      }
    ]
  })
}

关键注意事项 #

• iam_roles列表必须包含完整的IAM身份ARN（角色或用户均可），例如arn:aws:iam::123456789012:role/AllowedAppRole或arn:aws:iam::123456789012:user/AdminUser。
• jsonencode会自动处理Terraform的元组/列表类型，无需使用join、concat等函数进行字符串拼接，避免格式错误。
• 如果需要添加更多权限（比如DescribeSecret），直接在Action字段里追加数组元素即可，例如Action = ["secretsmanager:GetSecretValue", "secretsmanager:DescribeSecret"]。

问题排查要点 #

• 若之前使用data "aws_iam_policy_document"报错，通常是列表迭代逻辑有误，改用直接构造JSON策略的方式更简洁直观。
• 确认for_each遍历的键值对正确，每个Secret对应的iam_roles数据都能正确传递到策略资源中。

内容的提问来源于stack exchange，提问作者Doug