Terraform中根据IAM角色是否存在条件配置KMS密钥策略

要解决跨多账户执行时的这个问题，我们可以利用Terraform的ignore_errors和动态块特性，实现仅当目标IAM角色存在时才添加对应的KMS权限语句，具体步骤如下：

1. 安全查询目标IAM角色 #

首先定义一个数据源来尝试获取myrole，并开启ignore_errors = true——这样即使角色不存在，Terraform也不会抛出错误，而是返回一个空对象：

data "aws_iam_role" "myrole" {
  name          = "myrole"
  ignore_errors = true
}

2. 动态生成KMS策略语句 #

接下来在你的KMS密钥策略文档中，使用dynamic "statement"块，通过条件判断来决定是否生成针对myrole的权限语句：

data "aws_iam_policy_document" "key_policy" {
  # 这里可以添加所有账户都需要的固定策略语句（如果有的话）

  dynamic "statement" {
    # 只有当myrole存在时，才生成这个statement块
    for_each = data.aws_iam_role.myrole.id != "" ? [1] : []
    content {
      sid = "GiveAccessToMyRole"
      actions = [
        "kms:GenerateDataKey",  # 注意：你原来的代码里写了GenerateDateKey，这里是笔误，正确动作是GenerateDataKey
        "kms:Decrypt"
      ]
      resources = ["*"]
      principals {
        type        = "AWS"
        identifiers = [data.aws_iam_role.myrole.arn]
      }
    }
  }
}

原理说明 #

• ignore_errors = true确保数据源在找不到myrole时不会中断Terraform执行，而是返回空属性
• dynamic "statement"的for_each参数通过条件表达式控制：当角色存在（id不为空）时，循环一次生成语句；否则不生成任何语句
• 另外修正了你代码里的一个小笔误：KMS的生成数据密钥动作是GenerateDataKey，不是GenerateDateKey，这个错误会导致权限不生效，需要注意

这样配置后，CI在所有账户执行时，只有存在myrole的账户会自动添加这条KMS权限，没有该角色的账户会直接跳过，不会出现执行失败的情况。

内容的提问来源于stack exchange，提问作者Calvin Zhang