如何在Terraform IAM策略中根据环境条件动态配置SQS资源列表

解决方案 #

你已经正确定义了存储队列ARN的局部列表变量，问题核心是直接将Terraform列表类型插值到手动拼接的JSON策略中时，无法自动转换为符合IAM要求的JSON数组格式，有两种可行实现方式：

方案1（推荐）：使用aws_iam_policy_document数据源生成策略

这是Terraform官方推荐的IAM策略生成方式，天然支持列表类型的资源配置，无需手动处理JSON转义，避免语法错误：

1. 首先定义IAM策略数据源：

data "aws_iam_policy_document" "messaging" {
  # SNS权限声明，按原逻辑保留，可根据需求收窄Resource范围
  statement {
    effect  = "Allow"
    actions = [
      "sns:CreateTopic",
      "sns:Publish"
    ]
    resources = ["*"]
  }

  # SQS权限声明，直接传入你定义的局部列表变量即可
  statement {
    effect  = "Allow"
    actions = [
      "sqs:GetQueueUrl",
      "sqs:ReceiveMessage",
      "sqs:DeleteMessage",
      "sqs:ChangeMessageVisibility"
    ]
    resources = local.incoming_messages_queue
  }
}

2. 修改原有IAM角色策略资源，直接引用数据源生成的合法JSON：

resource "aws_iam_role_policy" "myservice_service_messaging" {
  role   = aws_iam_role.myservice_service.name
  policy = data.aws_iam_policy_document.messaging.json
}

方案2：修改原有HEREDOC拼接逻辑

如果要保留原有直接写JSON的写法，只需用jsonencode函数将列表转换为合法JSON数组即可，注意不需要给Resource字段再加额外引号，jsonencode输出的结果已经包含符合JSON规范的格式：

resource "aws_iam_role_policy" "myservice_service_messaging" {
  role = aws_iam_role.myservice_service.name

  policy = <<POLICY
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
              "sns:CreateTopic",
               "sns:Publish"
             ],
             "Resource": "*"
        },
        {
           "Effect": "Allow",
           "Action": [
                   "sqs:GetQueueUrl",
                   "sqs:ReceiveMessage",
                   "sqs:DeleteMessage",
                   "sqs:ChangeMessageVisibility"
           ],
           "Resource": ${jsonencode(local.incoming_messages_queue)}
        }
    ]
}
POLICY
}

两种方式都可以自动适配生产/非生产环境：生产环境自动生成包含两个队列ARN的Resource数组，非生产环境自动生成仅包含单个队列ARN的Resource数组，无需额外写循环逻辑。

内容的提问来源于stack exchange，提问作者Naggappan Ramukannan