部署Terraform模板时遭遇IAM 403错误的排查求助

问题概述 #

在Ubuntu Docker容器中部署Terraform模板时，已在环境变量、Terraform配置文件及~/.aws/credentials中配置密钥（先后尝试管理员权限密钥和根密钥），测试过Terraform 0.14和1.2.6版本，执行terraform apply时始终出现创建S3桶的403 AccessDenied错误，错误信息如下：

status code: 403, request id: xxx, host id: xxx =: timestamp=2022-08-12T16:18:50.169Z 2022/08/12 16:18:50 [DEBUG] aws_s3_bucket.root_bucket: apply errored, but we're indicating that via the Error pointer rather than returning it: Error creating S3 bucket: AccessDenied: Access Denied status code: 403, request id: xxx, host id: xxx =

可能的原因及解决方案 #

1. IAM权限或SCP限制 #

即使使用管理员或根密钥，也需确保实体拥有以下S3操作权限：

• s3:CreateBucket：创建桶
• s3:PutBucketAcl：设置public-read ACL
• s3:PutBucketPolicy：附加公共访问策略
• s3:PutBucketWebsite：配置网站重定向

若你的AWS账户属于组织，需检查**服务控制策略（SCP）**是否限制了S3的创建或公共访问操作，部分组织会通过SCP禁止根用户或管理员的特定操作。

2. 公共访问块（Block Public Access）限制 #

AWS默认对新账户和桶启用公共访问限制，若账户或目标桶开启了相关设置，设置public-read ACL或公共策略会被直接拒绝：

• 登录AWS控制台，进入S3服务，检查账户级Block Public Access设置，确保未勾选"Block public ACLs"和"Block public policies"
• 在Terraform中显式关闭目标桶的公共访问块（需放在桶资源之后）：

  resource "aws_s3_bucket_public_access_block" "root_bucket" {
    bucket = aws_s3_bucket.root_bucket.id
  
    block_public_acls       = false
    block_public_policy     = false
    ignore_public_acls      = false
    restrict_public_buckets = false
  }
  

3. 凭证优先级冲突 #

Terraform按以下顺序加载凭证：

1. Provider配置中的access_key/secret_key
2. 环境变量（AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY）
3. ~/.aws/credentials文件

确保你实际使用的凭证拥有对应权限，可在Docker容器内直接用AWS CLI验证：

aws s3api create-bucket --bucket test-temp-bucket --region eu-north-1 --create-bucket-configuration LocationConstraint=eu-north-1

若该命令也返回403，说明问题出在凭证或账户限制，与Terraform无关。

4. Backend状态桶权限问题 #

你的Terraform Backend使用了S3桶skapawebb-terraform，需确保凭证拥有该桶的读写权限（s3:GetObject、s3:PutObject）。即使资源创建权限足够，Backend权限不足也会导致流程中断。

5. 区域服务未启用 #

确认你的AWS账户在eu-north-1区域已启用S3服务，部分账户默认未开放所有区域，可在AWS控制台的区域设置中检查并启用。

快速排查步骤 #

1. 简化配置，先创建无额外配置的基础桶，验证是否能成功：

   resource "aws_s3_bucket" "root_bucket" {
     bucket = var.bucket_name
     tags = var.common_tags
   }
   

   若成功，再逐步添加ACL、策略、网站配置，定位具体触发403的步骤。
2. 启用Terraform Debug日志，获取更详细的请求细节：

   export TF_LOG=DEBUG
   terraform apply
   

   日志中会包含AWS返回的具体拒绝原因，有助于精准定位问题。

内容的提问来源于stack exchange，提问作者iKnowItAll