Terraform实操：从YAML文件创建AWS IAM用户并分配至对应组

云上老周

2026-8-10

解决方案

1. YAML结构无需调整

当前YAML结构直观清晰，以组名作为顶级键、对应值为组内用户列表，完全匹配需求，不需要修改。

2. 简化并修正Terraform代码

原代码的locals块存在取值错误（YAML中无groups顶层键），且嵌套循环冗余，以下是优化后的完整实现：

修正后的Locals块

locals {
  # 直接读取YAML文件内容，无需额外取["groups"]键
  group_users_map = yamldecode(file("${path.root}/groups-users.yaml"))

  # 扁平化生成用户-组关联列表，仅需两层循环即可实现目标结构
  user_group_associations = flatten([
    for group_name, users in local.group_users_map : [
      for user_name in users : {
        group = group_name
        user  = user_name
      }
    ]
  ])

  # 提取唯一组名列表，避免重复创建组
  unique_groups = distinct([for item in local.user_group_associations : item.group])
  # 提取唯一用户名列表，避免重复创建用户
  unique_users = distinct([for item in local.user_group_associations : item.user])
}

创建IAM组与用户

# 创建IAM组
module "aws_groups" {
  source = "../modules/iam/group"

  for_each = toset(local.unique_groups)

  name = each.value
}

# 创建IAM用户
module "aws_users" {
  source = "../modules/iam/user"

  for_each = toset(local.unique_users)

  name = each.value
}

将用户关联到对应组

通过aws_iam_user_group_membership资源完成用户与组的绑定（若你的组模块未内置此功能）：

resource "aws_iam_user_group_membership" "user_group_link" {
  # 用"组名-用户名"作为唯一键，避免重复关联
  for_each = {
    for assoc in local.user_group_associations : "${assoc.group}-${assoc.user}" => assoc
  }

  user = module.aws_users[each.value.user].name
  groups = [module.aws_groups[each.value.group].name]
}