Terraform Plan重复显示已应用的CanonicalUser变更，如何解决？

开发者阿泽

2026-8-20

问题：Terraform执行plan时持续显示CloudFront S3策略中CanonicalUser的变更提示

我给S3存储桶配置了一条IAM策略，允许CloudFront读取并列出桶内对象，策略核心内容如下：

Effect = "Allow"
Principal = {
  "CanonicalUser" : "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
}
Action : [
  "s3:GetObject",
  "s3:ListBucket"
],

策略已经成功应用，但每次执行terraform plan时，Terraform都会提示这个Principal下的CanonicalUser有变更需要应用，干扰了其他正常输出内容，求解决办法。

可行解决方案

改用CloudFront服务主体替代CanonicalUser
直接使用CloudFront的官方服务主体"Service": "cloudfront.amazonaws.com"代替CanonicalUser，Terraform能稳定识别这个主体，不会反复触发变更检测。修改后的Principal部分如下：
```
Principal = {
  "Service" : "cloudfront.amazonaws.com"
}
```
注意要确保CloudFront分发的Origin Access Control（OAC）已正确关联到目标S3桶，保证权限正常生效。
添加ignore_changes生命周期参数
如果必须保留CanonicalUser配置，可以在S3桶策略资源中声明ignore_changes，让Terraform忽略Principal字段的变更检测：
```
resource "aws_s3_bucket_policy" "bucket_policy" {
  bucket = aws_s3_bucket.target_bucket.id
  policy = jsonencode(...)

  lifecycle {
    ignore_changes = [
      policy["Statement"][0]["Principal"]
    ]
  }
}
```
请根据实际策略语句的索引调整[0]，确保指向目标的权限声明。
校验CanonicalUser的准确性
若配置的CanonicalUser与CloudFront分发实际对应的用户ID不一致，会导致Terraform每次对比都出现差异。可以通过AWS CLI获取正确的CanonicalUser：
```
aws cloudfront get-cloud-front-origin-access-identity --id <你的OAC-ID> --query 'CloudFrontOriginAccessIdentity.S3CanonicalUserId' --output text
```
将获取到的ID替换到策略中，确保和实际值完全匹配，即可消除不必要的变更提示。