Terraform动态分块IAM策略片段以满足单策略6144字符限制

你不需要写复杂的嵌套for表达式，Terraform 1.0及以上版本支持自定义递归函数，可以直接实现按顺序贪心分块的逻辑，完全满足不调整策略顺序、单块拼接长度不超限制的需求，不需要引入额外的外部脚本或第三方provider。

注意：AWS IAM策略的6144字符限制是最终合并后完整JSON的长度，source_policy_documents 合并时会自动添加策略包装结构，因此代码中预留了100字符的冗余，避免计算长度和最终实际长度不符导致超限，你可以根据实际场景调整冗余值大小。

核心实现代码 #

首先在locals块中定义递归分块逻辑，替换你原有iam_policy_documents的定义即可：

locals {
  # IAM策略单块长度上限，预留100字符冗余
  max_policy_length = 6144 - 100

  # 按原有顺序排列所有独立IAM策略片段的JSON内容
  iam_policy_documents = [
    data.aws_iam_policy_document.1.json,
    data.aws_iam_policy_document.2.json,
    # 按原有顺序补全其余策略文档
  ]

  # 递归分块函数：依次遍历策略文档，往当前块追加，超长度就封存当前块开新块
  chunk_policies = func(remaining_docs, current_chunk, finished_chunks) {
    # 所有文档处理完成，返回包含最后一个块的完整分块列表
    if length(remaining_docs) == 0 {
      return concat(finished_chunks, [current_chunk])
    }

    current_doc = remaining_docs[0]
    next_remaining = slice(remaining_docs, 1, length(remaining_docs))
    # 计算当前文档加入当前块后的总长度
    trial_chunk = concat(current_chunk, [current_doc])
    trial_length = length(join("\n", trial_chunk))

    if trial_length <= local.max_policy_length {
      # 未超限，继续往当前块追加下一个文档
      return local.chunk_policies(next_remaining, trial_chunk, finished_chunks)
    } else {
      # 超限，封存当前块，用当前文档开启新块
      return local.chunk_policies(next_remaining, [current_doc], concat(finished_chunks, [current_chunk]))
    }
  }

  # 执行分块逻辑，处理空列表边界情况
  policy_chunks = length(local.iam_policy_documents) == 0 ? [] : local.chunk_policies(
    slice(local.iam_policy_documents, 1, length(local.iam_policy_documents)),
    [local.iam_policy_documents[0]],
    []
  )
}

关联策略生成与挂载 #

分块完成后，遍历分块列表生成合并后的策略文档、策略资源，最后挂载到目标IAM角色即可：

# 按分块生成合并后的IAM策略文档
data "aws_iam_policy_document" "combined" {
  for_each = toset([for idx, _ in local.policy_chunks : idx])

  source_policy_documents = local.policy_chunks[each.key]
}

# 创建托管IAM策略
resource "aws_iam_policy" "combined" {
  for_each = data.aws_iam_policy_document.combined

  name        = "automation-role-policy-${each.key}"
  path        = "/"
  description = "Auto-chunked IAM policy for automation workflow role"
  policy      = each.value.json
}

# 将分块后的策略挂载到目标角色
resource "aws_iam_role_policy_attachment" "combined" {
  for_each = aws_iam_policy.combined

  role       = aws_iam_role.automation_role.name # 替换为你自己的角色资源引用
  policy_arn = each.value.arn
}

注意事项 #

• 该实现为顺序贪心分块，不会调整你原有策略片段的排列顺序，也不会做最优装箱计算，完全匹配需求
• 如果单个独立策略片段本身长度已经超过max_policy_length，Terraform会直接抛出错误，这种场景需要手动拆分该超长策略片段，AWS本身也不支持单条策略语句超过长度限制
• 如果你在使用中发现最终生成的策略仍有概率触发长度超限，适当调大max_policy_length的预留冗余值即可
• 只要分块总数不超过10个，就不会触及单IAM角色最多挂载10个托管策略的配额限制，常规使用场景下不需要额外做配额校验

内容的提问来源于stack exchange，提问作者geekofalltrades