使用Terraform创建带密钥的EC2实例报错，需完成实例部署与脚本执行

错误1：AWS Provider需要显式配置 #

这类错误是因为Terraform的AWS Provider未指定必要参数或凭证来源，按以下方式修复：

正确配置Provider文件 #

修改provider.tf，至少指定AWS区域，同时优先使用安全的凭证方式（禁止硬编码密钥）：

provider "aws" {
  region  = var.aws_region
  profile = var.aws_profile # 对应~/.aws/credentials中的配置项，可选
}

安全配置凭证的方式 #

• 本地凭证文件：在~/.aws/credentials中添加配置：

  [my-aws-profile]
  aws_access_key_id = YOUR_ACCESS_KEY
  aws_secret_access_key = YOUR_SECRET_KEY
  

  并在terraform.tfvars中指定aws_profile = "my-aws-profile"
• 环境变量：终端临时设置（或写入shell配置文件）：

  export AWS_ACCESS_KEY_ID="YOUR_ACCESS_KEY"
  export AWS_SECRET_ACCESS_KEY="YOUR_SECRET_KEY"
  export AWS_REGION="us-east-1"
  

• IAM角色：如果在AWS内部资源（如EC2、EKS）中运行Terraform，直接为资源绑定具备对应权限的IAM角色即可，无需手动配置凭证。

错误2：STS调用返回403（安全令牌无效） #

这类错误由凭证失效、权限不足或配置错误导致，按以下步骤排查：

1. 验证凭证有效性
   用AWS CLI执行命令测试凭证能否正常调用STS服务：

   aws sts get-caller-identity --profile my-aws-profile
   

   若报错，说明凭证存在拼写错误、过期或未正确配置问题。

2. 检查IAM权限
   确保所用IAM用户/角色具备以下必要权限：

   • sts:GetCallerIdentity：身份验证基础权限
   • EC2相关权限：ec2:RunInstances、ec2:CreateKeyPair、ec2:DescribeInstances等（按需调整）

3. 临时凭证处理
   如果使用临时安全令牌（如IAM角色会话），需额外配置环境变量AWS_SESSION_TOKEN，并确保令牌未过期。

补充：变量文件示例 #

确保vars.tf和terraform.tfvars配置匹配：

vars.tf #

variable "aws_region" {
  description = "AWS区域"
  type        = string
}

variable "aws_profile" {
  description = "AWS凭证配置文件名称"
  type        = string
  default     = "default"
}

variable "ami_id" {
  description = "EC2实例使用的AMI ID"
  type        = string
}

variable "instance_type" {
  description = "EC2实例类型"
  type        = string
  default     = "t2.micro"
}

terraform.tfvars #

aws_region   = "us-east-1"
aws_profile  = "my-aws-profile"
ami_id       = "ami-0c55b159cbfafe1f0" # 示例AMI，需根据实际区域替换

内容的提问来源于stack exchange，提问作者Rajiv Verma