如何通过Terraform将已有AWS IAM角色关联到EC2实例？

错误根源 #

你填在iam_instance_profile字段的是IAM角色的ARN，但这个参数要求的是**IAM实例配置文件（Instance Profile）**的名称或ARN，二者不是同一资源：

• IAM角色是权限集合的载体
• EC2实例实际关联的是实例配置文件，该配置文件会绑定对应的IAM角色
• 手动在控制台给EC2关联角色时，AWS会自动创建一个与角色同名的实例配置文件，但Terraform不会自动识别这种隐式关联

解决方案 #

方案1：直接使用实例配置文件名称 #

因为手动创建角色并关联EC2后，实例配置文件名称和角色名称一致，直接替换为角色名称即可：

resource "aws_instance" "test-ec2" {
  ami                         = "ami-xxxxxxxxxx"
  instance_type               = "t3.large"
  iam_instance_profile        = "my-role-name" # 替换为你的角色/实例配置文件名称
  key_name                    = "my-key"
  subnet_id                   = "subnet-some-subnet-d"
  vpc_security_group_ids      = ["sg-some-group-id"]
  associate_public_ip_address = true
  root_block_device {
    delete_on_termination = true
    volume_type           = "gp3"
    volume_size           = 40
  }
}

方案2：用数据源读取已存在的实例配置文件（更严谨） #

如果想避免硬编码，或者不确定实例配置文件名称，可以用Terraform数据源获取已有资源：

# 读取已存在的实例配置文件
data "aws_iam_instance_profile" "existing_profile" {
  name = "my-role-name" # 实例配置文件名称，与角色同名
}

resource "aws_instance" "test-ec2" {
  ami                         = "ami-xxxxxxxxxx"
  instance_type               = "t3.large"
  iam_instance_profile        = data.aws_iam_instance_profile.existing_profile.name
  key_name                    = "my-key"
  subnet_id                   = "subnet-some-subnet-d"
  vpc_security_group_ids      = ["sg-some-group-id"]
  associate_public_ip_address = true
  root_block_device {
    delete_on_termination = true
    volume_type           = "gp3"
    volume_size           = 40
  }
}

注意事项 #

• 确保Terraform使用的AWS账号有权限读取该实例配置文件（仅需iam:GetInstanceProfile权限，无需创建权限）
• EC2 API不接受直接用角色ARN填充iam_instance_profile字段

内容的提问来源于stack exchange，提问作者bflance