如何为Terraform创建的多个AWS账号批量创建S3存储桶？

Terraform 目前确实不支持动态声明带 alias 的 Provider 实例，也就是你没法直接用 for_each 遍历创建多账号 Provider 再部署资源，以下是三种可直接落地的解决方案：

方案1：使用AWS Organizations CloudFormation StackSet 跨账号部署资源（最推荐） #

这个方案利用AWS原生多账号部署能力，无需管理多套Provider，和你现有的沙箱账号创建逻辑完全适配：

• 先编写定义S3 Bucket的CloudFormation模板
• 在Terraform中配置aws_cloudformation_stack_set资源，指定部署目标为沙箱账号所属的OU，或者直接匹配你创建的沙箱账号
• 用aws_cloudformation_stack_set_instance遍历所有aws_organizations_account实例，触发每个账号的S3资源部署

示例代码片段：

# 定义S3 Bucket的CloudFormation模板
locals {
  s3_bucket_cfn_template = jsonencode({
    AWSTemplateFormatVersion = "2010-09-09"
    Resources = {
      SandboxDefaultBucket = {
        Type = "AWS::S3::Bucket"
        Properties = {
          BucketName = "sandbox-${each.value.name}-default-bucket"
          BucketEncryption = {
            ServerSideEncryptionConfiguration = [{
              ServerSideEncryptionByDefault = { SSEAlgorithm = "AES256" }
            }]
          }
          # 补充其他你需要的S3配置项
        }
      }
    }
  })
}

# 创建StackSet
resource "aws_cloudformation_stack_set" "sandbox_s3" {
  name               = "sandbox-default-s3-bucket"
  template_body      = local.s3_bucket_cfn_template
  permission_model   = "SERVICE_MANAGED"
  capabilities       = ["CAPABILITY_NAMED_IAM"]
  auto_deployment {
    enabled                          = true
    retain_stacks_on_account_removal = false
  }
}

# 给每个沙箱账号部署Stack实例
resource "aws_cloudformation_stack_set_instance" "sandbox_s3" {
  for_each         = aws_organizations_account.this
  stack_set_name   = aws_cloudformation_stack_set.sandbox_s3.name
  account_id       = each.value.id
  region           = "us-east-1" # 替换为你需要的部署区域
  depends_on       = [aws_organizations_account.this]
}

注意：使用服务托管型StackSet前需要先在AWS Organizations中启用CloudFormation StackSets的可信访问，你可以提前在控制台配置或者用Terraform的aws_organizations_organization_feature资源启用。

方案2：拆分Terraform配置为两步执行 #

如果你一定要用Terraform原生资源管理S3 Bucket的生命周期，可以把配置拆分为两个独立的Terraform项目：

1. 第一步：运行账号创建配置，将所有创建完成的沙箱账号ID列表输出到状态文件或者本地JSON文件
2. 第二步：使用Terragrunt等编排工具，读取第一步输出的账号列表，动态生成每个账号的Provider配置，循环调用S3 Bucket部署的Terraform模块，每个账号单独执行apply

这个方案的优势是所有资源都由Terraform状态管理，缺点是需要多步执行，依赖额外的编排工具。

方案3：使用null_resource调用AWS CLI跨账号创建资源 #

如果你的需求非常简单，不需要Terraform管理S3 Bucket的后续变更，可以用null_resource配合AWS CLI的跨账号角色切换能力直接创建资源：

resource "null_resource" "sandbox_s3_bucket" {
  for_each = aws_organizations_account.this
  provisioner "local-exec" {
    command = <<EOT
aws sts assume-role --role-arn arn:aws:iam::${each.value.id}:role/Administrator --role-session-name sandbox-s3-deploy > creds.json
export AWS_ACCESS_KEY_ID=$(jq -r '.Credentials.AccessKeyId' creds.json)
export AWS_SECRET_ACCESS_KEY=$(jq -r '.Credentials.SecretAccessKey' creds.json)
export AWS_SESSION_TOKEN=$(jq -r '.Credentials.SessionToken' creds.json)
aws s3 mb s3://sandbox-${each.value.name}-bucket --region us-east-1
rm creds.json
EOT
  }
  depends_on = [aws_organizations_account.this]
}

注意这个方案需要本地提前安装AWS CLI和jq工具，创建的S3 Bucket不会纳入Terraform状态管理，只适合临时简单场景。

内容的提问来源于stack exchange，提问作者Pierre-Alexandre