Terraform配置Launch Template关联IAM实例配置文件报错排查

看起来你遇到的核心问题有两个：一是Launch Template无法正确关联你的IAM实例配置文件（控制台找不到），二是Lambda调用时因为实例配置文件的参数格式错误而报错。下面是你可能遗漏的几个关键配置：

1. 未正确创建IAM实例配置文件（Instance Profile） #

IAM角色本身不能直接被EC2实例使用，必须通过实例配置文件作为载体关联到EC2。很多时候用户只创建了IAM角色，却忘记创建对应的实例配置文件，或者没有将角色与实例配置文件绑定。

正确的Terraform配置示例： #

# 创建EC2要扮演的IAM角色
resource "aws_iam_role" "rigstopgap_role" {
  name = "RigstopgapRole"

  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = "sts:AssumeRole"
        Effect = "Allow"
        Principal = {
          Service = "ec2.amazonaws.com"
        }
      }
    ]
  })

  # 这里可以附加你需要的权限策略
  managed_policy_arns = ["arn:aws:iam::aws:policy/AmazonEC2FullAccess"]
}

# 创建关联该角色的实例配置文件
resource "aws_iam_instance_profile" "rigstopgap_instance_profile" {
  name = "RigstopgapInstanceProfile"
  role = aws_iam_role.rigstopgap_role.name # 关键：绑定上面创建的IAM角色

  # 确保实例配置文件在角色创建完成后再生成
  depends_on = [aws_iam_role.rigstopgap_role]
}

如果缺少aws_iam_instance_profile资源，控制台自然找不到对应的实例配置文件，EC2也无法关联角色。

2. Launch Template错误地使用了实例配置文件的ARN而非名称 #

你的错误提示明确说“参数iamInstanceProfile.name的值(ARN)无效”，这说明在Launch Template配置中，你把实例配置文件的ARN传给了name字段，而不是用实例配置文件的名称。

错误的写法： #

resource "aws_launch_template" "ec2_template" {
  # ...其他配置
  iam_instance_profile {
    name = aws_iam_instance_profile.rigstopgap_instance_profile.arn # ❌ 这里错用了ARN
  }
}

正确的写法二选一： #

要么使用实例配置文件的名称：

resource "aws_launch_template" "ec2_template" {
  # ...其他配置
  iam_instance_profile {
    name = aws_iam_instance_profile.rigstopgap_instance_profile.name # ✅ 使用名称
  }
}

要么使用arn字段指定ARN：

resource "aws_launch_template" "ec2_template" {
  # ...其他配置
  iam_instance_profile {
    arn = aws_iam_instance_profile.rigstopgap_instance_profile.arn # ✅ 用arn字段传ARN
  }
}

Lambda调用RunInstances时，会读取Launch Template的配置，如果name字段填了ARN，AWS会把它当作实例配置文件的名称去查找，自然找不到，从而报错。

3. Lambda执行角色缺少iam:PassRole权限 #

即使实例配置文件创建正确，Lambda要传递这个实例配置文件给EC2，必须拥有iam:PassRole权限。如果缺少这个权限，也可能导致调用失败（虽然你的错误提示是名称无效，但建议同时检查）。

给Lambda执行角色添加权限示例： #

resource "aws_iam_role_policy" "lambda_pass_role_policy" {
  name = "LambdaPassInstanceProfilePolicy"
  role = aws_iam_role.lambda_exec_role.id

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Action = "iam:PassRole"
        Resource = aws_iam_instance_profile.rigstopgap_instance_profile.arn # 指定你的实例配置文件ARN
      },
      {
        Effect = "Allow"
        Action = "ec2:RunInstances"
        Resource = "*" # 根据需要缩小资源范围
      }
    ]
  })
}

4. 验证资源是否正确创建 #

如果控制台还是看不到实例配置文件，可以通过以下方式验证：

• 运行terraform state show aws_iam_instance_profile.rigstopgap_instance_profile查看Terraform状态，确认实例配置文件是否存在并关联了角色。
• 使用AWS CLI命令aws iam list-instance-profiles --profile your-profile检查实例配置文件是否存在。
• 确认你在控制台查看的是正确的AWS账号和区域。

内容的提问来源于stack exchange，提问作者Georgi Koemdzhiev