如何使用Terraform追加多个AWS SQS策略

直接替换aws_sqs_queue_policy的Statement会覆盖原有策略，要实现追加，需将默认策略语句与额外策略语句合并为一个完整的列表，再生成最终的策略文档。

具体实现步骤 #

1. 定义SQS队列资源（若尚未创建）：

resource "aws_sqs_queue" "queue" {
  name = "your-queue-name"
}

2. 定义策略语句并合并：
   通过本地变量分别存储默认策略和额外策略，再用concat()函数合并所有语句：

locals {
  # 默认SQS策略语句
  default_statements = [
    {
      Effect   = "Allow"
      Action   = ["sqs:SendMessage*"]
      Resource = [aws_sqs_queue.queue.arn]
    }
  ]

  # 额外的SNS订阅策略，可添加任意数量
  additional_statements = [
    {
      Sid       = "topic-subscription-arn-test"
      Effect    = "Allow"
      Principal = { AWS = "*" }
      Action    = "sqs:SendMessage"
      Resource  = [aws_sqs_queue.queue.arn]
      Condition = {
        ArnLike = {
          "aws:SourceArn" = "arn:aws:sns:region:account-id:your-topic-1"
        }
      }
    },
    {
      Sid       = "topic-subscription-arn-test-2"
      Effect    = "Allow"
      Principal = { AWS = "*" }
      Action    = "sqs:SendMessage"
      Resource  = [aws_sqs_queue.queue.arn]
      Condition = {
        ArnLike = {
          "aws:SourceArn" = "arn:aws:sns:region:account-id:your-topic-2"
        }
      }
    }
  ]

  # 合并所有策略语句
  combined_statements = concat(local.default_statements, local.additional_statements)
}

3. 生成完整的SQS队列策略：
   用jsonencode()将合并后的语句转换成合法的JSON策略，关联到目标队列：

resource "aws_sqs_queue_policy" "queue_policy" {
  queue_url = aws_sqs_queue.queue.id
  policy = jsonencode({
    Version   = "2012-10-17"
    Statement = local.combined_statements
  })
}

关键注意事项 #

• 保持IAM策略的Action大小写一致（如统一用sqs:SendMessage而非SQS:SendMessage），避免潜在问题。
• 若额外策略需要动态生成（比如遍历多个SNS Topic资源），可使用Terraform的for表达式生成additional_statements列表。
• 替换示例中的ARN为实际的SNS Topic ARN，确保权限控制准确。

内容的提问来源于stack exchange，提问作者thulasi39