如何用Terraform为多个已有的S3存储桶批量创建桶策略

错误原因 #

aws_s3_bucket_policy 资源的bucket参数仅支持传入单个存储桶ID，直接传入通配符匹配得到的ID列表不符合参数约束，因此配置失效。

实现方案：使用for_each批量创建策略资源 #

每个S3存储桶需要对应独立的aws_s3_bucket_policy资源实例，通过for_each循环可以批量生成实例，统一复用同一份策略配置，示例如下：

# 定义需要绑定策略的目标桶集合
locals {
  target_buckets = toset([
    aws_s3_bucket.a.id,
    aws_s3_bucket.b.id,
    aws_s3_bucket.c.id
  ])
}

# 循环生成桶策略资源，每个桶对应一个策略实例
resource "aws_s3_bucket_policy" "abc" {
  for_each = local.target_buckets
  bucket   = each.value

  # 统一策略内容，可根据需求自行调整
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect    = "Allow"
        Principal = "*"
        Action    = "s3:GetObject"
        Resource  = "${each.value}/*"
      }
    ]
  })
}

注意事项 #

• 优先使用toset()包装目标桶ID列表：for_each要求传入集合类型，同时基于桶ID作为实例唯一标识，后续调整桶列表时不会触发无关资源的重建。
• 策略内容中需要引用当前桶的属性时，直接使用each.value获取当前循环的桶ID即可，无需硬编码桶名称。
• 如果后续需要新增绑定策略的桶，只需在local.target_buckets列表中添加对应桶的ID引用即可，无需修改其他配置。

内容的提问来源于stack exchange，提问作者Dương Quang Thọ