通过Terraform创建IAM用户并将密钥上传至S3存储桶的方案问询

方案1：纯Terraform原生实现（推荐，无外部依赖，状态一致性高） #

该方案完全通过Terraform资源完成全流程，避免CLI调用的时序、权限问题

• 前提：你已经在现有代码中声明了aws_iam_user资源，且通过aws_iam_access_key生成访问密钥对
• 直接使用aws_s3_object资源将密钥内容写入目标S3桶，代码示例如下：

# 已有IAM用户示例
resource "aws_iam_user" "app_user" {
  name = "your-business-user"
}

# 生成IAM访问密钥对
resource "aws_iam_access_key" "app_user_key" {
  user = aws_iam_user.app_user.name
}

# 将密钥写入S3存储桶
resource "aws_s3_object" "iam_creds_storage" {
  bucket = "your-target-s3-bucket-name"
  key    = "credentials/${aws_iam_user.app_user.name}/creds.json"
  content = jsonencode({
    access_key_id     = aws_iam_access_key.app_user_key.id
    secret_access_key = aws_iam_access_key.app_user_key.secret
  })
  # 强制开启服务端加密
  server_side_encryption = "AES256"
  # 设置私有访问权限
  acl = "private"
}

• 注意要点：
  • S3桶必须提前配置私有访问策略，禁止公开访问
  • 建议开启S3桶的版本控制和访问日志记录，降低密钥泄露风险
  • 不要在Terraform输出块中打印secret_access_key明文，避免状态文件泄露敏感信息

方案2：Terraform调用本地执行+S3 CLI（原有CLI方案的修复版） #

如果你需要保留CLI上传逻辑的话，此前CLI效果不佳大概率是时序错误、权限缺失、未做加密处理导致的，可通过local-exec置后执行解决：

resource "aws_iam_access_key" "app_user_key" {
  user = aws_iam_user.app_user.name

  provisioner "local-exec" {
    command = <<EOT
echo '{"access_key_id":"${self.id}","secret_access_key":"${self.secret}"}' > temp_creds.json
aws s3 cp temp_creds.json s3://your-target-s3-bucket-name/credentials/${aws_iam_user.app_user.name}/creds.json --sse AES256
rm -f temp_creds.json
EOT
  }
}

• 关键修复点：
  • 置后执行逻辑绑定在aws_iam_access_key资源内部，确保密钥生成完成后才会执行上传操作，避免CLI拿到空值
  • 执行CLI的本地环境必须提前配置好目标S3桶的写入权限
  • 上传时添加--sse参数开启服务端加密
  • 上传完成后立刻删除本地临时凭证文件，避免本地残留明文泄露

通用安全注意事项 #

• 无论采用哪种方案，都必须严格限制S3桶的IAM访问策略，仅允许授权身份读取凭证文件
• 建议配置IAM密钥自动轮换逻辑，可通过Terraform配置aws_iam_access_key的生命周期规则实现自动轮换
• 禁止将密钥明文输出到日志、终端或其他公开位置

内容的提问来源于stack exchange，提问作者Devops-Learner