如何使用Terraform为AWS IAM角色分配指定用户？

可以通过Terraform完成指定IAM用户与IAM角色的绑定分配，你之前检索到的aws_iam_policy_attachment、aws_iam_user_policy_attachment仅负责权限策略的挂载，不涉及用户与角色的关联逻辑，正确配置流程如下：

• 核心配置：修改角色的信任策略，授权指定用户拥有角色的代入权限
  IAM用户和角色的绑定核心逻辑定义在角色的信任策略（Assume Role Policy）中，需要在策略的Principal字段明确指定允许代入角色的用户标识，配置示例如下：

# 获取当前账号ID，也可以直接硬编码目标账号ID
data "aws_caller_identity" "current" {}

resource "aws_iam_role" "custom_role" {
  name = "your-business-role"
  # 信任策略：仅允许指定IAM用户代入该角色
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Principal = {
          # 替换为你要绑定的指定用户名，也可以直接写完整用户ARN
          AWS = "arn:aws:iam::${data.aws_caller_identity.current.account_id}:user/zhangsan"
        }
        Action = "sts:AssumeRole"
      }
    ]
  })

  # 角色自身的业务权限策略可按需求正常配置
  # ...
}

• 可选补充配置：给用户授予代入角色的权限
  完成上述信任策略配置后，如果需要让指定用户无需额外手动配置权限即可直接使用该角色，可以给对应用户添加允许sts:AssumeRole的权限策略，配置示例如下：

resource "aws_iam_user_policy" "user_assume_role_perm" {
  name = "assume-custom-role-perm"
  user = "zhangsan" # 替换为指定用户名
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Action = "sts:AssumeRole"
        Resource = aws_iam_role.custom_role.arn
      }
    ]
  })
}

注意：不要混淆角色的信任策略和角色的权限策略：信任策略定义的是「谁可以用这个角色」，权限策略定义的是「这个角色能做什么」，你之前找到的两个策略挂载资源，操作的都是权限策略范畴，无法实现用户与角色的绑定逻辑。

内容的提问来源于stack exchange，提问作者Misha