如何在Terraform中统计SQS策略语句数量并分支处理？

根据AWS SQS的限制，队列策略的语句数量最多为20条。要在Terraform中实现统计语句数、并根据数量决定策略逻辑，可以按以下步骤操作：

1. 解析合并后的策略文档，统计语句数量 #

通过jsondecode将合并后的JSON格式策略字符串转换成Terraform可操作的对象，再用length函数获取Statement数组的长度：

locals {
  # 解析合并后的策略为对象
  combined_policy_obj = jsondecode(data.aws_iam_policy_document.combined.json)
  # 统计语句总数
  total_statements = length(local.combined_policy_obj.Statement)
}

2. 两种处理方案 #

方案一：语句数超限直接抛出错误 #

如果希望语句数超过20时终止Terraform执行并报错，可使用assert断言实现：

locals {
  combined_policy_obj = jsondecode(data.aws_iam_policy_document.combined.json)
  total_statements = length(local.combined_policy_obj.Statement)
  
  # 断言语句数不超限，否则触发错误
  validate_policy_count = assert(
    local.total_statements <= 20,
    "SQS队列策略语句数超出限制：当前${local.total_statements}条，最多允许20条"
  )
}

resource "aws_sqs_queue_policy" "test" {
  queue_url = aws_sqs_queue.q.id
  policy    = data.aws_iam_policy_document.combined.json
}

方案二：超限自动切换为通配符策略 #

若需要在超限后自动替换为更简洁的通配符策略，先定义通配符策略文档，再通过条件表达式切换：

# 定义通配符策略（按需调整权限范围，避免过度开放）
data "aws_iam_policy_document" "wildcard" {
  statement {
    actions   = ["sqs:*"]
    resources = [aws_sqs_queue.q.arn]
    principals {
      type        = "*"
      identifiers = ["*"]
    }
  }
}

locals {
  combined_policy_obj = jsondecode(data.aws_iam_policy_document.combined.json)
  total_statements = length(local.combined_policy_obj.Statement)
}

resource "aws_sqs_queue_policy" "test" {
  queue_url = aws_sqs_queue.q.id
  # 语句数≤20用合并后的策略，否则用通配符策略
  policy = local.total_statements <= 20 ? data.aws_iam_policy_document.combined.json : data.aws_iam_policy_document.wildcard.json
}

注意事项 #

• 确保合并后的策略是合法JSON格式，否则jsondecode会报错；
• 通配符策略权限范围极大，建议根据实际业务需求调整actions、principals等字段，避免安全风险。

内容的提问来源于stack exchange，提问作者user4585412