Terraform多环境下仅ID不同的IAM策略文档最佳实践咨询

针对单一工作区单体仓库无法变更、多环境仅ID不同的IAM策略需求，以下是几个落地性强的最佳实践：

1. 参数化aws_iam_policy_document数据源（推荐） #

别误以为aws_iam_policy_document数据源不能参数化，它本身就支持直接插入变量，完全能避免重复代码：

# 定义环境ID变量
variable "environment_id" {
  type        = string
  description = "Unique ID for target environment"
}

# 参数化生成策略文档
data "aws_iam_policy_document" "env_specific" {
  statement {
    actions   = ["s3:GetObject", "dynamodb:Query"]
    resources = [
      "arn:aws:s3:::bucket-${var.environment_id}/assets/*",
      "arn:aws:dynamodb:us-east-1:123456789012:table/${var.environment_id}-user-data"
    ]
  }
}

# 生成对应环境的IAM策略
resource "aws_iam_policy" "env_access" {
  name        = "env-${var.environment_id}-access-policy"
  description = "Access policy for ${var.environment_id} environment"
  policy      = data.aws_iam_policy_document.env_specific.json
}

这种方式完全原生，不用额外模块或模板，Terraform还会自动校验策略语法，比模板文件更可靠。

2. 用for_each批量生成多环境策略 #

如果要在同一个工作区一次性生成多个环境的策略，不用复制粘贴多个块，直接用for_each遍历环境ID列表：

# 定义所有环境ID
variable "environment_ids" {
  type    = list(string)
  default = ["dev", "staging", "prod"]
}

# 批量生成策略文档
data "aws_iam_policy_document" "env_policies" {
  for_each = toset(var.environment_ids)
  
  statement {
    actions   = ["s3:GetObject"]
    resources = ["arn:aws:s3:::bucket-${each.key}/assets/*"]
  }
}

# 批量创建IAM策略资源
resource "aws_iam_policy" "env_policies" {
  for_each = toset(var.environment_ids)
  
  name        = "policy-${each.key}"
  description = "Access policy for ${each.key} environment"
  policy      = data.aws_iam_policy_document.env_policies[each.key].json
}

只需要维护环境ID列表，就能自动生成对应数量的策略，完全避免重复代码。

3. 模板文件的优化用法（如果偏好模板） #

如果已经习惯用templatefile()，可以把它和aws_iam_policy_document数据源结合，既保留模板的可读性，又能利用数据源的语法校验：

• 先写模板文件templates/iam_policy.tftpl：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "dynamodb:Query"],
      "Resource": [
        "arn:aws:s3:::bucket-${env_id}/assets/*",
        "arn:aws:dynamodb:us-east-1:123456789012:table/${env_id}-user-data"
      ]
    }
  ]
}

• 再在主文件中调用：

variable "environment_id" {
  type = string
}

data "aws_iam_policy_document" "env_policy" {
  policy = templatefile("${path.module}/templates/iam_policy.tftpl", {
    env_id = var.environment_id
  })
}

resource "aws_iam_policy" "env_access" {
  name   = "env-${var.environment_id}-access"
  policy = data.aws_iam_policy_document.env_policy.json
}

总结 #

优先选择参数化aws_iam_policy_document数据源的方案，它最贴合Terraform的原生设计，既满足单一工作区的限制，又能彻底避免重复代码，还自带语法校验。如果需要批量生成多环境策略，搭配for_each就能高效实现。

内容的提问来源于stack exchange，提问作者James