如何解决Terraform代码中IAM策略变量${aws:PrincipalAccount}报错问题

你遇到的报错本质是HCL语法与AWS IAM策略变量语法的冲突：Terraform默认会把所有${}格式的内容识别为自身需要解析的插值表达式，而aws:PrincipalAccount是AWS IAM侧的原生策略变量，不属于Terraform要处理的变量，冒号不符合Terraform插值变量的命名规则，因此触发语法报错。

当你将${aws:PrincipalAccount}修改为$${aws:PrincipalAccount}后，会产生以下效果：

• Terraform解析代码时，会自动将$${序列转换为普通的${字面量，最终提交到AWS的IAM策略中，该部分会完全还原为你需要的${aws:PrincipalAccount}格式，AWS可以正常识别并解析这个IAM全局条件键，替换为发起请求的主体对应账户ID，完全满足你的业务逻辑需求。
• 你代码中已经使用的Terraform侧变量（如${aws_s3_bucket.log-dev-test-bucket-test.arn}、${var.organization_id}）不需要调整，Terraform仍会正常将其替换为实际部署时的对应值。

假设你的S3桶ARN为arn:aws:s3:::log-dev-test-bucket-test，组织ID为o-123456，转义后最终生成的Resource字段如下：

"Resource": "arn:aws:s3:::log-dev-test-bucket-test/AWSLogs/o-123456/${aws:PrincipalAccount}/*"

内容的提问来源于stack exchange，提问作者dcloud