Cloud9中用Terraform创建IAM角色遇凭证错误的解决咨询

问题根源拆解 #

• 第一个错误InvalidClientTokenId：Cloud9默认的AWS托管临时凭证存在无效、过期或权限不足的问题，导致Terraform调用AWS API失败。
• 禁用临时凭证后的配置错误：Terraform无法找到合法的AWS凭证源，且未明确配置AWS Provider参数。

解决方案一：给Cloud9 EC2实例附加IAM角色（推荐，安全无手动凭证管理） #

1. 登录AWS控制台，找到当前Cloud9环境对应的EC2实例。
2. 为该EC2实例附加具备IAM角色创建权限的IAM角色：
   • 角色需包含至少iam:CreateRole、iam:PassRole等必要权限（可通过自定义策略实现）。
3. 返回Cloud9终端，执行命令刷新实例元数据凭证：

   aws sts get-caller-identity
   

   确认输出包含正确的身份信息（如Account ID、ARN）。
4. 在Terraform代码中添加基础AWS Provider配置（无需硬编码凭证）：

   provider "aws" {
     region = "us-east-1" # 替换为你的目标AWS区域
   }
   

5. 重新执行Terraform命令：

   terraform init
   terraform apply
   

解决方案二：修复Cloud9托管临时凭证 #

若需继续使用Cloud9默认临时凭证：

1. 在Cloud9环境设置中，重新启用AWS managed temporary credentials。
2. 验证当前凭证权限：

   aws iam create-role --role-name test-temp-role --assume-role-policy-document '{"Version": "2012-10-17", "Statement": [{"Effect": "Allow", "Principal": {"Service": "ec2.amazonaws.com"}, "Action": "sts:AssumeRole"}]}'
   

   • 若命令报错，说明当前凭证权限不足，需给Cloud9关联的IAM角色补充IAM创建权限。
3. 刷新本地缓存的凭证：

   rm -rf ~/.aws/credentials
   aws configure list
   

4. 重新运行Terraform命令。

解决方案三：手动配置AWS凭证（应急场景，不推荐） #

1. 在Cloud9中禁用AWS managed temporary credentials。
2. 执行命令配置本地凭证：

   aws configure
   

   按提示输入你的AWS Access Key ID、Secret Access Key、目标区域。
3. （可选）在Terraform代码中明确配置Provider（建议用变量而非硬编码）：

   provider "aws" {
     region     = "us-east-1"
     access_key = var.aws_access_key
     secret_key = var.aws_secret_key
   }
   
   variable "aws_access_key" {}
   variable "aws_secret_key" {}
   

4. 重新执行Terraform初始化与部署命令。

内容的提问来源于stack exchange，提问作者Devang Sanghani