使用Terraform部署AWS WAFv2 WebACL时RULE_ACTION参数为空报错咨询

报错根因 #

你遇到的报错本质是参数不符合API校验规则：
WAFv2要求每个规则的动作字段必须从allow、block、count三个选项中选且仅选一个值传入，不允许所有可选值全为null。从你贴的配置片段看，你在规则块里只写了override_action，完全漏了必填的action配置，导致提交给AWS的请求里规则动作字段没有任何有效值，直接被API拦截返回400错误。

易混淆概念说明 #

• action块是所有WAFv2规则的强制必填项，没有任何例外，必须严格三选一配置，不能多也不能少
• override_action块是仅作用于托管规则的可选配置，用来覆盖托管规则自带的默认动作，它完全不能替代必填的action字段。这个块同样有严格校验：必须二选一——要么写none{}表示不覆盖托管规则原动作，要么写count{}表示强制把托管规则动作改为仅记录日志不拦截，不能两个都不写。

修正后的配置参考 #

补上缺失的必填action块、补全override_action的两个分支逻辑后，规则块的结构如下：

dynamic "rule" {
  for_each = var.managed_rules
  content {
    name     = rule.value.name
    priority = rule.value.priority

    # 补上规则必需的action块，按需选择其中一个动作即可
    action {
      # 仅保留一个有效值，禁止同时写多个
      allow {}
      # block {}
      # count {}
    }

    override_action {
      # 保留原有none场景渲染逻辑
      dynamic "none" {
        for_each = rule.value.override_action == "none" ? [1] : []
        content {}
      }
      # 补全count覆盖场景的渲染逻辑，避免override_action全空触发校验报错
      dynamic "count" {
        for_each = rule.value.override_action == "count" ? [1] : []
        content {}
      }
    }

    # 此处保留原本定义的托管规则组参数、语句配置即可
  }
}

避坑提示 #

• 禁止在同一个action块下同时配置多个动作（比如同时写allow{}和block{}），这种写法会触发和当前完全一致的“单值字段传入了多值”的报错
• 部署前可以先运行terraform validate + terraform plan，确认生成的配置结构里每个规则都包含完整的action、override_action块，再实际执行apply操作，减少API端的校验类报错

内容的提问来源于stack exchange，提问作者louis benagha