Terraform如何获取AWS全量S3桶并批量配置存储桶清单

安全阿岳

2026-9-3

Terraform批量给账号下所有S3桶配置清单的实现方式

单个aws_s3_bucket数据源只能查询单个指定桶的信息，要获取全量桶列表直接用AWS Provider提供的aws_s3_buckets数据源即可，不需要手动指定桶名，它会自动返回当前凭证权限范围内的所有S3桶列表。

正确配置示例

# 查询当前账号下所有S3存储桶
data "aws_s3_buckets" "all_account_buckets" {}

# 用于存储所有桶清单结果的目标桶
resource "aws_s3_bucket" "inventory_destination" {
  bucket = "x-bucket"
  # 需额外配置桶策略，允许S3服务写入清单文件，否则清单任务会执行失败
}

# 批量为所有桶创建清单配置
resource "aws_s3_bucket_inventory" "bucket_inventory" {
  # 排除存放清单的目标桶本身，避免不必要的自引用和额外开销
  for_each = toset(setsubtract(data.aws_s3_buckets.all_account_buckets.names, [aws_s3_bucket.inventory_destination.bucket]))

  bucket   = each.key
  name     = "lifecycle_analysis_bucket"

  included_object_versions = "All"

  schedule {
    frequency = "Daily"
  }

  destination {
    bucket {
      format     = "CSV"
      bucket_arn = aws_s3_bucket.inventory_destination.arn
    }
  }
}

关键说明

data.aws_s3_buckets.all_account_buckets.names是返回的全量桶名列表，类型为list(string)，可以直接做过滤、去重处理后传给for_each使用。
执行Terraform操作的身份需要拥有s3:ListAllMyBuckets权限，否则无法拉取到完整的桶列表。
如果只需要给指定前缀、指定规则的桶配置清单，可以对names列表做过滤后再传入for_each，比如用regexall、startswith等函数筛选符合条件的桶名。
不需要循环定义单个aws_s3_bucket数据源拉取每个桶的信息，aws_s3_buckets单次API调用即可返回全量桶名，是官方推荐的全量查询方式。