通过Bamboo流水线创建EC2角色IAM策略时遇Terraform报错求助

错误1：Provider produced inconsistent final plan #

Error: Provider produced inconsistent final plan when expanding the plan for aws_iam_policy.this[xx] to include new values learned so far during apply, provider "registry.terraform.io/hashicorp/aws" produced an invalid new value for policy: was cty.StringVal(xx), but now cty.StringVal(xx). This is a bug in the provider, which should be reported in the provider's own issue tracker.

解决步骤： #

• 清理流水线Terraform缓存：在Bamboo部署步骤中先执行rm -rf .terraform terraform.tfstate*，再重新运行terraform init，避免旧状态或缓存引发的不一致问题。
• 对齐本地与流水线配置：确认流水线拉取的代码分支和本地一致，检查变量文件、backend配置是否存在差异；本地运行terraform plan -out=plan.out，流水线执行terraform show plan.out对比输出，确保资源定义完全匹配。
• 调整AWS Provider版本：该错误属于Provider已知bug，尝试升级到4.30.0及以上稳定版本，或降级到4.28.0，在versions.tf中明确指定后重新生成锁文件。

错误2：Provider requirements cannot be satisfied by locked dependencies #

"Provider requirements cannot be satisfied by locked dependencies"

解决步骤： #

• 重新生成依赖锁文件：本地执行terraform init -upgrade，更新terraform.lock.hcl并提交到代码仓库，流水线部署时会自动使用匹配的依赖版本。
• 优化Provider版本约束：在versions.tf中用范围约束替代固定版本，示例：

  provider "aws" {
    version = "~> 4.29.0" # 允许小版本升级
    region  = "your-region"
  }
  

• 调整流水线初始化命令：若需临时绕过锁验证，可在流水线中执行terraform init -lock=false，但此方法仅作临时排查，长期建议依赖更新后的锁文件。

额外排查建议 #

• 对比本地与流水线环境变量：检查AWS凭证、区域、其他Terraform相关环境变量是否一致，动态生成的IAM策略内容可能受环境变量影响。
• 启用Debug日志：流水线中设置export TF_LOG=DEBUG后执行terraform apply，通过日志定位策略字符串变化的具体原因。

内容的提问来源于stack exchange，提问作者Bcloud