如何解决Terraform创建自引用Secrets Manager密钥资源策略的循环问题

你当前的配置存在显式循环依赖：

• aws_secretsmanager_secret.this 资源创建时需要读取data.aws_iam_policy_document.this生成的策略JSON
• aws_iam_policy_document.this 数据源生成策略时，又需要引用aws_secretsmanager_secret.this的ARN作为策略的目标资源值
  两者互相依赖，Terraform无法确定资源创建/计算的先后顺序，因此抛出依赖错误。

不要将资源策略直接内嵌在aws_secretsmanager_secret资源块中，使用独立的aws_secretsmanager_secret_policy资源挂载策略，将循环依赖拆为单向依赖链：

1. 先创建不带内嵌策略的Secrets Manager密钥
2. 基于已生成的密钥ARN、已有IAM角色ARN生成策略文档
3. 将生成的策略挂载到已存在的密钥上

修正后的代码如下：

# 创建不带内嵌策略的密钥
resource "aws_secretsmanager_secret" "this" {
  name = "mySecret"
}

# 查询目标IAM角色
data "aws_iam_role" "this" {
  name = "myRole"
}

# 生成策略文档，此时密钥已创建，可以正常引用其ARN
data "aws_iam_policy_document" "this" {
  statement {
    sid = "ReadPermissions"
    principals {
      type        = "aws"
      identifiers = [data.aws_iam_role.this.arn]
    }
    actions   = ["secretsmanager:GetSecretValue"]
    resources = [aws_secretsmanager_secret.this.arn]
  }
}

# 将策略附加到密钥上
resource "aws_secretsmanager_secret_policy" "this" {
  secret_arn = aws_secretsmanager_secret.this.arn
  policy     = data.aws_iam_policy_document.this.json
}

• 这种实现方式完全符合Terraform资源依赖逻辑，执行顺序为：查询IAM角色 → 创建密钥 → 生成策略文档 → 挂载密钥策略，无循环引用
• 后续如果需要调整密钥策略，只需要修改aws_secretsmanager_secret_policy资源即可，不需要重建密钥本身
• 注意不要在密钥资源里保留policy参数，否则会再次触发循环依赖
• 禁止硬编码拼接密钥ARN规避依赖：Secrets Manager密钥创建时会自动在自定义名称后追加6位随机后缀，手动拼接的ARN和实际资源ARN不匹配，会导致策略完全失效

内容的提问来源于stack exchange，提问作者Alex