如何通过Terraform更新AWS Secret策略，实现多ECS任务共享密钥？

首先明确：你当前的思路确实存在偏差，在多独立Git仓库的场景下，给ECS任务执行角色附加访问Secret的IAM策略才是更合理的方案，原因如下：

如果尝试在Secret的资源策略中逐个添加不同ECS服务的任务执行角色ARN，由于每个仓库的Terraform状态独立，当多个仓库同时修改同一个Secret的资源策略时，会出现状态覆盖、冲突的问题——比如仓库A刚把角色1加入Secret策略，仓库B更新时会把角色2加进去但覆盖掉角色1的配置，导致权限丢失。

正确实现方式：在ECS任务执行角色端配置权限 #

每个ECS服务的Terraform仓库只需维护自身任务执行角色的权限，添加允许访问共享Secret的策略即可，完全不需要修改Secret端的配置（除非Secret有特殊的跨账号或外部访问需求）。

示例代码 #

1. 定义允许访问共享Secret的IAM策略文档

data "aws_iam_policy_document" "ecs_shared_secret_access" {
  statement {
    actions = [
      "secretsmanager:GetSecretValue",
      "secretsmanager:DescribeSecret"
    ]
    # 替换为你的共享Secret ARN
    resources = ["arn:aws:secretsmanager:us-east-1:123456789012:secret:your-shared-secret-xxxxxx"]
  }
}

2. 创建该IAM策略

resource "aws_iam_policy" "ecs_shared_secret_access" {
  name        = "ecs-access-shared-secret-${var.ecs_service_name}"
  description = "允许当前ECS任务执行角色访问共享Secret"
  policy      = data.aws_iam_policy_document.ecs_shared_secret_access.json
}

3. 将策略附加到ECS任务执行角色

resource "aws_iam_role_policy_attachment" "ecs_secret_access_attach" {
  # 替换为你的ECS任务执行角色名称或引用
  role       = aws_iam_role.ecs_task_execution_role.name
  policy_arn = aws_iam_policy.ecs_shared_secret_access.arn
}

额外说明 #

• 如果你的共享Secret之前配置了手动的资源策略，可以考虑简化甚至移除它：默认情况下，AWS Secrets Manager允许账号内的IAM身份通过IAM权限访问Secret，只要IAM角色有对应的secretsmanager:GetSecretValue等权限即可。
• 这种方式完全适配多独立仓库的场景，每个ECS服务只需要关注自身的权限配置，不会和其他服务的Terraform状态产生冲突。

内容的提问来源于stack exchange，提问作者user3819197