如何查看Terraform AWS Provider底层调用？执行plan报账户访问拒绝如何排查

排查方案 #

这个报错是AWS Provider的隐式调用触发，和你代码里有没有显式写账户查询逻辑无关，可按以下步骤逐步定位：

• 先验证接口权限：给当前执行plan所用的AWS身份添加organizations:DescribeAccount的最小权限（资源限制为报错信息里的目标账户ID即可），重新执行plan。如果报错消失，即可确认是该隐式调用导致。
  你使用的v3.46.0版本AWS Provider属于旧版本，存在校验账户归属时优先调用Organizations接口的逻辑，尤其是配置了allowed_account_ids、forbidden_account_ids这类账户校验参数，或者切换到SSO身份后，都会触发该隐式调用。
• 排查Provider配置：检查全局、各子模块的AWS Provider配置，确认是否存在未显式声明的账户校验参数、多Provider继承配置，迁移状态桶到Ops账户后如果配置了跨账户Provider，也可能触发未授权账户的校验逻辑。
• 捕获完整AWS请求日志：执行plan前添加环境变量AWS_DEBUG=1，该参数会输出所有发往AWS的HTTP请求明细，可直接定位到DescribeAccount请求的触发时机、所用身份、目标账户，比Terraform自身的trace日志更精准。
• 修复方案：如果安全团队不允许开放organizations:DescribeAccount权限，可将AWS Provider升级到最新的v3稳定版或v4+版本，后续版本已优化该逻辑，大部分场景下仅调用sts:GetCallerIdentity即可完成账户校验，无需调用Organizations接口。

内容的提问来源于stack exchange，提问作者Saman Rajaee