如何解决Terraform配置EC2实例自身标签读取权限的循环依赖问题

问题根因 #

你遇到的循环依赖形成链如下：

aws_instance → 依赖 aws_iam_instance_profile → 依赖 aws_iam_role → 依赖 aws_iam_policy → 依赖 aws_instance.arn → 回到 aws_instance，形成闭环。

可行实现方案（两种） #

方案1：使用独立关联资源（推荐，仅需1次apply） #

Terraform AWS Provider提供了独立的aws_iam_instance_profile_association资源，专门用于解耦EC2实例创建和实例配置绑定的逻辑，直接打破循环。
修改后的完整代码如下：

# 第一步：创建EC2实例，不指定iam_instance_profile参数
resource "aws_instance" "problem" {
  instance_type = "t2.medium"
  ami           = "ami-08d489468314a58df"
}

# 第二步：创建IAM策略，直接引用已定义的EC2实例ARN，无额外依赖
resource "aws_iam_policy" "problem" {
  name = "problem"
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      { Effect   = "Allow"
        Action   = ["ssm:GetParameters"] # 可替换为读取标签的对应action，比如ec2:DescribeTags
        Resource = [aws_instance.problem.arn]
      }
    ]
  })
}

# 第三步：创建IAM角色
resource "aws_iam_role" "problem" {
  name                = "problem"
  managed_policy_arns = [aws_iam_policy.problem.id]
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = "sts:AssumeRole"
        Effect = "Allow"
        Principal = {
          Service = "ec2.amazonaws.com"
        }
      },
    ]
  })
}

# 第四步：创建实例配置
resource "aws_iam_instance_profile" "problem" {
  name = "problem"
  role = aws_iam_role.problem.name
}

# 第五步：绑定实例和实例配置，作为最后一步执行
resource "aws_iam_instance_profile_association" "problem" {
  instance_id         = aws_instance.problem.id
  iam_instance_profile = aws_iam_instance_profile.problem.name
}

此时依赖链为：aws_instance → aws_iam_policy → aws_iam_role → aws_iam_instance_profile → aws_iam_instance_profile_association，无闭环，可正常执行terraform apply。

方案2：分阶段apply实现 #

如果不想新增关联资源，也可以通过两次apply完成：

1. 第一次修改代码：注释掉aws_instance中的iam_instance_profile参数，同时先把aws_iam_policy中的Resource临时写为"*"，执行terraform apply，完成EC2实例和IAM相关资源的创建。
2. 第二次修改代码：恢复iam_instance_profile参数，把IAM策略的Resource替换为真实的EC2 ARN，再次执行terraform apply，更新对应资源即可。

额外优化建议 #

如果你的核心需求是让EC2仅能读取自身标签，不需要在IAM策略中硬编码实例ARN，可直接使用AWS IAM的动态条件键实现，完全避免循环依赖问题：

# 不需要引用任何EC2属性的通用策略
policy = jsonencode({
  Version = "2012-10-17"
  Statement = [
    {
      Effect   = "Allow"
      Action   = ["ec2:DescribeTags"]
      Resource = "*"
      Condition = {
        StringEquals = {
          "ec2:ResourceId" = "${ec2:SourceInstanceARN}"
        }
      }
    }
  ]
})

该策略会自动匹配请求发起的EC2实例ID，仅允许读取自身标签，无需绑定实例ARN。

内容的提问来源于stack exchange，提问作者KAction