Terraform为IAM角色附加多策略报iam_policy_arn未设置错误

问题根因 #

报错提示iam_policy_arn变量未赋值，核心原因是Terraform执行时没有读取到你写在terraform.tfvars里的变量值，触发该问题的常见场景：

• GitHub Action执行terraform plan/terraform apply时的工作目录，和你存放iam.tf、terraform.tfvars的目录不一致。Terraform默认只会在当前执行命令的工作目录下，自动加载命名为terraform.tfvars或*.auto.tfvars的变量文件，跨目录的文件不会被自动识别。
• terraform.tfvars文件存在拼写错误（比如写成terrform.tfvars、terraform.tfvars.txt），不符合自动加载的命名规则。
• Action流程中执行Terraform命令时显式传入了其他-var-file参数，覆盖了默认加载逻辑，且没有将你的terraform.tfvars纳入加载列表。

除此之外，你的现有配置还存在两处隐藏问题，即使解决变量加载报错也无法达到预期效果：

• 需求是附加AmazonEC2FullAccess（EC2服务全权限），但当前tfvars里配置的是AmazonEC2ContainerRegistryFullAccess（EC2容器镜像仓库权限），和需求不匹配。
• 策略挂载资源中引用了var.iam_role_name变量，但你没有在配置中定义该变量，后续会触发新的未定义变量报错。

修复步骤 #

1. 修正GitHub Action的Terraform执行配置 #

如果你的Terraform配置文件存放在仓库的子目录中，需要在Action的Terraform执行步骤中明确指定工作目录，示例：

- name: Terraform Apply
  working-directory: ./your/tf/config/path # 替换为iam.tf、terraform.tfvars实际存放的目录路径
  run: terraform apply -auto-approve

如果你的变量文件不使用默认命名、或存放在其他路径，执行Terraform命令时需要显式指定变量文件路径：

terraform apply -var-file="./path/to/your/terraform.tfvars"

2. 修正terraform.tfvars配置 #

替换错误的权限ARN，同时补充缺失的角色名变量值，修正后内容如下：

iam_policy_arn = [
    "arn:aws:iam::aws:policy/AmazonSageMakerFullAccess", 
    "arn:aws:iam::aws:policy/AmazonEC2FullAccess"
]
# 替换为你实际要挂载策略的IAM角色名称
iam_role_name = "your-sagemaker-service-role"

3. 补全iam.tf的变量定义 #

在iam.tf的变量声明区块补充iam_role_name的定义，和已有的iam_policy_arn变量放在一起即可：

variable "iam_role_name" {
  description = "Name of the IAM role to attach policies to"
  type        = string
}

优化建议：如果这个IAM角色是通过同一份Terraform配置创建的（即配置中存在aws_iam_role类型的资源），可以直接在策略挂载块中引用该角色资源的name属性，不需要单独定义iam_role_name变量传值，能减少人工配置出错的概率。

内容的提问来源于stack exchange，提问作者cs0815