咨询Terraform编写AWS KMS代码的正确性：创建密钥与两类IAM角色

首先看你目前的代码，已经完成了AWS provider配置和KMS密钥的创建，但还没实现那两个IAM角色的创建，而且aws_kms_al...看起来是没写完的资源（应该是密钥别名或权限关联的部分？），所以当前代码还达不到你预设的目标哦。

我帮你把代码补全，实现创建KMS密钥+两个IAM角色（管理角色、加解密角色）的完整功能：

provider "aws" {
  access_key = "*****************"
  secret_key = "4ZJaLh***********"
  region     = "us-east-1"
}

# 创建KMS密钥
resource "aws_kms_key" "test_key" {
  description = "KMS Test key"
  # 可选：默认密钥是启用状态，这里显式声明更清晰
  is_enabled = true
}

# 给KMS密钥设置别名（可选，方便后续识别调用）
resource "aws_kms_alias" "test_key_alias" {
  name          = "alias/test-kms-key"
  target_key_id = aws_kms_key.test_key.key_id
}

# 1. 创建用于KMS管理操作的IAM角色
resource "aws_iam_role" "kms_admin_role" {
  name = "kms-admin-role"

  # 定义角色的信任策略：谁可以扮演这个角色
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = "sts:AssumeRole"
        Effect = "Allow"
        Principal = {
          # 这里示例用根用户，你可以根据实际场景修改，比如特定IAM用户/EC2服务
          AWS = "arn:aws:iam::${data.aws_caller_identity.current.account_id}:root"
        }
      }
    ]
  })
}

# 给管理角色附加权限策略：允许完整的KMS管理操作
resource "aws_iam_role_policy" "kms_admin_policy" {
  name   = "kms-admin-policy"
  role   = aws_iam_role.kms_admin_role.id
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Action = [
          "kms:CreateKey",
          "kms:DeleteKey",
          "kms:EnableKey",
          "kms:DisableKey",
          "kms:PutKeyPolicy",
          "kms:UpdateKeyDescription"
          # 可根据需求添加更多管理类操作
        ]
        Resource = aws_kms_key.test_key.arn
      }
    ]
  })
}

# 2. 创建用于KMS加解密操作的IAM角色
resource "aws_iam_role" "kms_crypto_role" {
  name = "kms-crypto-role"

  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = "sts:AssumeRole"
        Effect = "Allow"
        Principal = {
          # 同样，可根据实际场景修改信任主体
          AWS = "arn:aws:iam::${data.aws_caller_identity.current.account_id}:root"
        }
      }
    ]
  })
}

# 给加解密角色附加权限策略：仅允许核心加解密相关操作
resource "aws_iam_role_policy" "kms_crypto_policy" {
  name   = "kms-crypto-policy"
  role   = aws_iam_role.kms_crypto_role.id
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect = "Allow"
        Action = [
          "kms:Encrypt",
          "kms:Decrypt",
          "kms:GenerateDataKey",
          "kms:GenerateDataKeyWithoutPlaintext"
        ]
        Resource = aws_kms_key.test_key.arn
      }
    ]
  })
}

# 获取当前AWS账号ID，用于角色信任策略的动态填充
data "aws_caller_identity" "current" {}

几个关键提醒： #

• 我给两个角色都配置了最小权限策略，遵循IAM权限最小化原则，你可以根据实际需求调整操作列表
• 角色的信任主体（Principal）示例用了根用户，实际使用时建议改成更具体的主体，比如业务服务的IAM用户、EC2实例角色等
• 硬编码access_key和secret_key在代码里是不安全的，建议通过环境变量、AWS本地凭证文件或者实例IAM角色来传递凭证
• 如果需要进一步限制KMS密钥的访问范围，还可以给aws_kms_key添加policy参数，设置密钥级别的访问控制

内容的提问来源于stack exchange，提问作者Akshay Yeluru