Terraform跨文件夹引用：如何将policy1A附加至role1

嘿，这个场景在Terraform项目里太常见了！当你的IAM策略和角色分别放在不同文件夹时，主要有两种靠谱的方式来完成关联，我给你详细拆解下：

方法一：使用Terraform模块（推荐同一项目内跨文件夹） #

如果你的policy1.tf和roles1.tf属于同一个大项目，只是分文件夹存放，用**模块（Module）**是最规范的做法：

1. 把策略文件夹封装成模块
   假设存放policy1.tf的文件夹叫./policies，你需要在这个文件夹里新增一个outputs.tf，把要引用的策略ARN暴露出来：

   # ./policies/outputs.tf
   output "policy1A_arn" {
     type        = string
     description = "ARN of policy1A"
     value       = aws_iam_policy.policy1A.arn
   }
   

   （这里默认你已经在policy1.tf里定义了aws_iam_policy.policy1A资源）

2. 在角色文件夹中调用策略模块
   假设存放roles1.tf的文件夹叫./roles，在这个文件夹的配置文件（比如main.tf）里引入策略模块，然后用模块输出的ARN来关联角色：

   # ./roles/main.tf
   # 引入策略模块，source路径根据实际相对位置调整
   module "policies" {
     source = "../policies"
   }
   
   # 假设你已经在roles1.tf里定义了role1
   resource "aws_iam_role_policy_attachment" "role1_policy1A_attach" {
     role       = aws_iam_role.role1.name
     policy_arn = module.policies.policy1A_arn
   }
   

方法二：使用远程状态引用（适用于完全独立的Terraform配置） #

如果policy1.tf和roles1.tf是两个完全独立的Terraform项目（各自有自己的状态文件），那你需要通过**远程状态（Remote State）**来跨配置引用资源：

1. 在策略项目中输出策略ARN
   同样先在策略项目的outputs.tf里暴露policy1A的ARN：

   # 策略项目的outputs.tf
   output "policy1A_arn" {
     type        = string
     description = "ARN of policy1A"
     value       = aws_iam_policy.policy1A.arn
   }
   

   确保这个项目的状态已经推送到远程后端（比如S3、GCS等，本地状态不适合跨项目引用）。

2. 在角色项目中读取远程状态
   在角色项目里添加一个data块来读取策略项目的远程状态，然后用读取到的ARN关联角色：

   # 角色项目的main.tf
   data "terraform_remote_state" "policy_state" {
     backend = "s3" # 替换成你实际使用的后端类型，比如azurerm、gcs等
     config = {
       bucket = "your-terraform-state-bucket" # 策略项目状态存放的桶
       key    = "path/to/policies/terraform.tfstate" # 策略项目状态文件的路径
       region = "us-east-1" # 桶所在区域
     }
   }
   
   # 关联策略到角色
   resource "aws_iam_role_policy_attachment" "role1_policy1A_attach" {
     role       = aws_iam_role.role1.name
     policy_arn = data.terraform_remote_state.policy_state.outputs.policy1A_arn
   }
   

注意事项 #

• 模块引用的source路径要确保正确，相对路径或绝对路径都可以，也可以用Git地址等。
• 远程状态引用需要确保两个项目使用的后端配置一致，且角色项目有读取策略项目状态文件的权限。
• 不管用哪种方法，都要确保aws_iam_policy.policy1A和aws_iam_role.role1的资源名称和你实际代码中的一致。

内容的提问来源于stack exchange，提问作者user389955