如何通过Terraform配置与COS控制台一致的Bucket访问策略？

我懂你遇到的困扰了——用Terraform生成的COS IAM策略里，resource是一长串完整CRN，导致Writer权限没法正常工作，而控制台里手动配置的是简洁的实例名、bucket名这类参数。这是因为Terraform默认取bucket的完整CRN作为resource值，但IAM策略需要更精准的资源匹配规则。

解决方案：拆分资源属性配置 #

你需要在resources块里明确指定对应控制台的几个关键参数，而不是直接用ibm_cos_bucket.pcaps.id。具体来说就是service_instance_name（对应控制台的serviceInstance）、resource_type和resource（对应控制台的resource）。

完整示例代码：

# 先定义COS服务实例（如果还未配置的话）
resource "ibm_resource_instance" "cos_instance" {
  name     = "foo-bar"
  service  = "cloud-object-storage"
  plan     = "standard"
  location = "global"
}

# 定义目标COS Bucket
resource "ibm_cos_bucket" "pcaps" {
  bucket_name          = "foo-bar-pcaps"
  resource_instance_id = ibm_resource_instance.cos_instance.id
  region_location      = "us-east"
  storage_class        = "standard"
}

# 配置符合控制台规则的IAM服务策略
resource "ibm_iam_service_policy" "policy_pcaps" {
  iam_service_id = ibm_iam_service_id.serviceID_pcaps.id
  roles          = ["Writer"]
  
  resources {
    service                = "cloud-object-storage"
    service_instance_name  = ibm_resource_instance.cos_instance.name # 匹配控制台的serviceInstance=foo-bar
    resource_type          = "bucket" # 匹配控制台的resourceType=bucket
    resource               = ibm_cos_bucket.pcaps.bucket_name # 匹配控制台的resource=foo-bar-pcaps
  }
}

为什么这样能解决问题？ #

• 原来的代码用ibm_cos_bucket.pcaps.id会返回包含账户ID、实例ID、bucket名称等信息的完整CRN，这会让IAM策略仅匹配这个完整CRN对应的特定资源；但你实际需要的是匹配指定实例下的指定bucket，拆分属性后就能实现和控制台完全一致的策略规则。
• 通过明确指定实例名称、资源类型和bucket名称，生成的策略规则会和你在控制台手动配置的完全对齐，Writer权限自然就能正常生效了。

内容的提问来源于stack exchange，提问作者Jedrzej Nowak