使用S3存储Terraform状态时执行terraform init遇凭证错误求助

我来帮你梳理下问题根源和解决办法：你遇到的核心问题是Terraform初始化S3后端时，无法获取到有效的AWS凭证——虽然你在main.tf（注意你写成了main.yml，Terraform配置文件需要是.tf后缀哦）里配置了Provider的AK/SK，但后端初始化逻辑是独立于Provider配置的，它会优先从系统凭证源（环境变量、凭证文件、IAM角色等）读取，不会直接复用Provider里的配置。

下面是几个可行的解决方法，按推荐程度排序：

方法一：使用环境变量传递凭证（推荐，符合最佳实践） #

这种方式避免硬编码凭证到配置文件，安全性更高。在执行terraform init前，先设置对应环境变量：

# Linux/macOS 终端
export AWS_ACCESS_KEY_ID="你的Access Key"
export AWS_SECRET_ACCESS_KEY="你的Secret Access Key"
export AWS_DEFAULT_REGION="us-east-1"

# Windows PowerShell
$Env:AWS_ACCESS_KEY_ID="你的Access Key"
$Env:AWS_SECRET_ACCESS_KEY="你的Secret Access Key"
$Env:AWS_DEFAULT_REGION="us-east-1"

设置完成后再运行terraform init，Terraform的后端和Provider都会自动读取这些环境变量的凭证信息。

方法二：在backend配置中临时添加凭证（仅用于测试，不推荐生产环境） #

如果只是临时验证，可以直接在backend.tf里补充凭证配置，但绝对不要将此配置提交到版本控制系统：

terraform {
 backend "s3" {
 bucket = "bucket_name_here"
 key = "terraform.tfstate"
 dynamodb_table = "table_name_here"
 region = "us-east-1"
 access_key = "你的Access Key"
 secret_key = "你的Secret Access Key"
 }
}

修改后重新执行terraform init，验证通过后记得立即删除配置里的凭证信息。

方法三：配置AWS本地凭证文件 #

如果你习惯使用AWS本地凭证文件（路径为~/.aws/credentials），可以确保文件内有正确的默认配置：

[default]
aws_access_key_id = 你的Access Key
aws_secret_access_key = 你的Secret Access Key
region = us-east-1

Terraform会自动读取这个文件的默认配置，无需在代码里硬编码凭证。

额外检查项 #

• 确认你的Access Key和Secret Access Key没有拼写错误，注意大小写和特殊字符
• 确保该管理员用户拥有S3存储桶的读写权限和DynamoDB表的读写权限（虽然是管理员权限，但建议再核对下权限策略）
• 检查DynamoDB表结构：必须包含一个名为LockID的字符串类型主键，这是Terraform状态锁的强制要求
• 把main.yml重命名为main.tf，Terraform只会识别.tf后缀的配置文件

内容的提问来源于stack exchange，提问作者kaka