如何从另一个Terraform模块为AWS IAM用户添加标签？

要在不直接管理aws_iam_user资源的前提下给IAM用户添加标签，核心方案是使用Terraform的aws_iam_user_tag专用资源——它专门用于独立管理IAM用户的标签，无需控制用户本身的创建逻辑。

结合你已经用到的aws_iam_users数据源过滤目标用户，具体实现示例如下：

# 过滤带有db_rw标签的IAM用户
data "aws_iam_users" "db_rw_users" {
  filter {
    name = "tag:db_rw"
  }
}

# 为过滤出的用户批量添加/更新标签
resource "aws_iam_user_tag" "db_rw_user_tags" {
  # 遍历所有符合条件的用户名
  for_each = toset(data.aws_iam_users.db_rw_users.users[*].name)
  user     = each.value

  # 定义要添加的标签键值对
  tags = {
    Terraform_Managed = "true"
    Environment       = "Production"
  }
}

注意事项 #

• 确保执行Terraform的身份拥有iam:TagUser和iam:ListUsers的IAM权限，否则无法完成标签操作和用户过滤
• 如果需要保留用户原有标签并新增，可以结合aws_iam_user数据源获取现有标签后合并，示例如下：

data "aws_iam_users" "db_rw_users" {
  filter {
    name = "tag:db_rw"
  }
}

# 获取每个目标用户的详细信息（包含现有标签）
data "aws_iam_user" "db_rw_user_details" {
  for_each = toset(data.aws_iam_users.db_rw_users.users[*].name)
  user_name = each.value
}

# 合并原有标签与新标签
resource "aws_iam_user_tag" "db_rw_user_tags" {
  for_each = toset(data.aws_iam_users.db_rw_users.users[*].name)
  user     = each.value

  tags = merge(
    data.aws_iam_user.db_rw_user_details[each.value].tags,
    {
      New_Module_Tag = "Added_From_Terraform_Module"
    }
  )
}

这种方案完全满足你“无需直接管理aws_iam_user资源”的需求，仅通过数据源定位用户后，用独立的标签资源完成标签添加操作。

内容的提问来源于stack exchange，提问作者Arunas Bart