使用Terraform创建CloudTrail：动态S3桶ARN在field_selector不生效求助

问题原因 #

你当前配置里把S3桶的ARN写成了带引号的字符串"aws_s3_bucket.sftp_file_upload_bucket.arn"，Terraform会把它当作字面量处理，不会解析为实际的桶ARN值，导致CloudTrail的事件选择器匹配不到真实的S3对象操作，所以没有生成日志。而硬编码桶名能生效，是因为用的是真实ARN的实际内容。

修正步骤 #

1. 正确引用ARN资源属性：去掉ARN引用的引号，让Terraform读取实际的桶ARN值：

   field_selector {
     field = "resources.ARN"
     starts_with = [aws_s3_bucket.sftp_file_upload_bucket.arn]
   }
   

2. 统一资源引用：注意到你配置里s3_bucket_name = bucket.id，如果你的S3桶资源块名称是bucket（比如resource "aws_s3_bucket" "bucket" {...}），那对应的ARN引用要改成bucket.arn，保证和日志存储桶用的是同一个资源：

   field_selector {
     field = "resources.ARN"
     starts_with = [bucket.arn]
   }
   

效果验证 #

修正后，Terraform部署时会自动把当前桶的ARN填入CloudTrail的事件选择器。以后桶每3个月变更时，只要重新执行Terraform部署，新的ARN就会自动更新到配置里，无需手动硬编码。

内容的提问来源于stack exchange，提问作者Coding_ninja