如何在Terraform的jsonencode模板中转义含${aws:username}的HCL字符串

问题核心原因 #

你遇到的转义问题来自两个错误点：

• IAM策略的变量宏语法本身就是${aws:username}，使用&前缀属于语法错误，自然无法在IAM中生效
• 你同时使用了template_file数据源和templatefile()函数做了两次模板渲染，两层插值会消耗掉你写的转义符，导致$${aws:username}最终被识别成Terraform的插值表达式而非字面量输出

方案1：修正现有模板写法 #

步骤1：删除冗余的template_file数据源 #

template_file和templatefile()功能完全重复，直接使用templatefile()的输出作为策略内容即可，减少一层插值处理。

步骤2：调整local变量的转义写法 #

仅需一层转义即可，修改后的local块如下：

locals {
  enforce_tag = {
    Environment = ["development", "production", "rnd"]
    Project     = ["snooper", "tom"]
    Owner       = ["$${aws:username}"]
  }
}

此时渲染模板后，$${}会被正确输出为${}，最终得到你需要的"${aws:username}"字面量。

方案2：使用官方推荐的IAM策略生成方式（更稳定，无转义问题） #

Terraform AWS provider提供了专门的aws_iam_policy_document数据源用来生成IAM策略，完全不需要手动处理转义、JSON格式等问题，示例代码如下：

locals {
  enforce_tag = {
    Environment = ["development", "production", "rnd"]
    Project     = ["snooper", "tom"]
    Owner       = ["${aws:username}"]
  }
}
data "aws_iam_policy_document" "enforce_tags" {
  statement {
    sid       = "VisualEditor0"
    effect    = "Allow"
    actions   = ["ec2:*"]
    resources = ["*"]
    condition {
      test     = "ForAllValues:StringEquals"
      variable = "aws:TagKeys"
      values   = keys(local.enforce_tag)
    }
    dynamic "condition" {
      for_each = local.enforce_tag
      content {
        test     = "StringEqualsIfExists"
        variable = "aws:RequestTag/${condition.key}"
        values   = condition.value
      }
    }
  }
}

需要使用策略JSON时，直接引用data.aws_iam_policy_document.enforce_tags.json即可，输出完全符合你预期的结构，且IAM宏会被自动正确保留。

内容的提问来源于stack exchange，提问作者Rostyslav Malenko