如何将自定义IAM策略附加到EKS节点组角色？现有方案是否最优？

我希望将通过aws_iam_policy创建的策略附加到EKS集群节点组的NodeInstanceRole。目前找到一段Terraform代码，想确认该方案是否可行？或者有无更优方法？核心困扰是如何获取节点组角色的名称。

找到的代码如下：

resource "aws_iam_role_policy_attachment" "additional" {
  for_each = {
    for node_group, group_details in module.eks.eks_managed_node_groups : node_group => group_details
    # 过滤掉未创建的节点组，避免空角色名
    if group_details.iam_role_name != ""
  }

  policy_arn = aws_iam_policy.s3_write_policy.arn
  role       = each.value.iam_role_name
}

该方案完全可行 #

这段代码逻辑合理：

• 借助terraform-aws-eks模块输出的eks_managed_node_groups集合，遍历所有节点组信息
• 通过if条件过滤掉未实际创建的节点组（模块会保留配置中定义但未启用的节点组条目，这类条目iam_role_name为空）
• 最终为每个已创建的节点组角色附加目标策略，避免了空值报错问题

更优方法推荐 #

根据场景不同，有两种更简洁的实现方式：

1. 创建节点组时直接附加策略

如果在规划阶段就确定要给节点组附加该策略，直接在eks_managed_node_groups的配置中使用attach_policy_arns参数即可，无需额外创建aws_iam_role_policy_attachment资源：

module "eks" {
  source = "terraform-aws-modules/eks/aws"
  
  # 集群基础配置（省略）...

  eks_managed_node_groups = {
    my-worker-group = {
      # 节点组配置（实例类型、容量等，省略）...
      attach_policy_arns = [aws_iam_policy.s3_write_policy.arn]
    }
  }
}

2. 直接使用模块的角色名输出

部分版本的terraform-aws-eks模块会直接输出node_group_iam_role_names（键为节点组名称，值为角色名的键值对集合），可以直接遍历这个集合，省去嵌套取值的步骤：

resource "aws_iam_role_policy_attachment" "additional" {
  for_each = module.eks.node_group_iam_role_names
  policy_arn = aws_iam_policy.s3_write_policy.arn
  role       = each.value
}

总结 #

• 若提前规划节点组权限，创建时直接附加策略是最省心的方式
• 若需后期追加权限，你找到的过滤方法或直接使用角色名输出的方式都可靠，核心都是利用模块的输出值动态获取节点组角色名，避免硬编码带来的维护问题

内容的提问来源于stack exchange，提问作者ChrisAdkin