使用Terraform Workspaces时如何创建全局唯一的特定资源

针对多环境Workspace部署时，IAM角色这类全局仅需创建一次的资源，不要在环境配置里无差别定义，直接按下面几种生产验证过的方案处理即可：

• 方案一：拆分独立的全局资源栈（生产首选）
  单独建一个独立的Terraform项目目录，专门存放所有跨环境共享的资源：包括通用IAM角色、全局日志桶、公共DNS解析zone、跨环境共用的KMS密钥这类不需要按环境隔离的资源。这个项目不关联staging、test这类业务Workspace，单独维护独立的状态文件，初始化后只需要执行一次apply完成创建。
  业务环境的Terraform配置里，通过terraform_remote_state数据源读取全局栈的输出值（比如IAM角色ARN），直接引用即可，不需要在业务栈里重复定义这类资源。

  参考配置示例：

  # 业务环境栈中读取全局资源状态
  data "terraform_remote_state" "global" {
    backend = "s3"
    config = {
      bucket = "你的Terraform状态存储桶名"
      key    = "global-resources/terraform.tfstate"
      region = "资源部署区域"
    }
  }
  
  # 业务资源直接引用全局创建好的角色
  resource "aws_lambda_function" "service" {
    function_name = "service-${terraform.workspace}"
    role          = data.terraform_remote_state.global.outputs.common_service_role_arn
    # 其余配置省略
  }
  

  这个方案的优势是权责完全解耦，全局资源的变更和业务环境发布流程互不影响，不会因为切换Workspace执行操作误改、误删共享资源，适合中大型团队、生产环境使用。

• 方案二：条件判断控制资源创建（小规模场景适用）
  如果不想拆分独立项目，可以给共享资源加Workspace判断逻辑，约定仅在某一个固定Workspace（比如单独创建一个名为global的专属Workspace，也可以约定用staging环境作为全局资源的创建载体）执行资源创建，其余Workspace直接通过云厂商数据源读取已经存在的共享资源信息即可。

  参考配置示例：

  # 仅在指定Workspace创建共享IAM角色
  resource "aws_iam_role" "common_service_role" {
    count = terraform.workspace == "global" ? 1 : 0
    name  = "common-service-exec-role"
    # 角色信任策略、权限策略配置省略
  }
  
  # 其余Workspace直接查询已存在的角色
  data "aws_iam_role" "common_service_role" {
    count = terraform.workspace != "global" ? 1 : 0
    name  = "common-service-exec-role"
  }
  
  # 统一封装引用值，业务资源不需要额外判断环境
  locals {
    common_service_role_arn = terraform.workspace == "global" ? aws_iam_role.common_service_role[0].arn : data.aws_iam_role.common_service_role[0].arn
  }
  

  这个方案配置简单，适合资源量小、团队人数少的测试/开发场景，注意要给全局资源的状态存储加严格的权限控制，避免误操作删除共享资源影响所有环境。

• 避坑提醒
  不要靠人工记忆“只在第一次apply的时候创建共享资源”，只要切换到其他Workspace执行plan，Terraform会判定当前Workspace状态中不存在该资源，触发创建逻辑，迟早会出现资源名冲突、重复创建的问题。
  所有共享资源的状态文件写权限要收敛，不要给所有开发人员开放删除/修改权限，避免误操作导致全环境故障。

内容的提问来源于stack exchange，提问作者George Paul