GitBucket流水线中Terraform访问S3远程状态遇权限拒绝

嘿，我碰到过好几个类似的场景——本地跑Terraform连S3远程状态没问题，一放到GitBucket流水线就权限报错，大概率是环境身份或者权限配置的差异导致的，给你梳理几个排查方向和解决办法：

本地能正常运行，是因为你的机器已经配置了AWS凭证（比如~/.aws/credentials文件或者环境变量），但GitBucket的流水线是独立的运行环境，默认不会继承你的本地凭证。你得给流水线配置合法的AWS身份：

• 临时方案：用环境变量注入凭证
  在GitBucket的流水线配置里，添加这几个保密环境变量（一定要设成保密，别明文暴露）：
  • AWS_ACCESS_KEY_ID：你的AWS访问密钥ID
  • AWS_SECRET_ACCESS_KEY：对应的密钥
    如果用了临时凭证，还要加AWS_SESSION_TOKEN。
• 推荐方案：用IAM角色
  如果你的GitBucket部署在AWS的EC2、EKS或者ECS上，直接给运行GitBucket的实例/节点绑定IAM角色就行。这个角色需要有S3桶的读写权限，参考策略如下：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "s3:GetObject",
                  "s3:PutObject",
                  "s3:ListBucket"
              ],
              "Resource": [
                  "arn:aws:s3:::zego-terraform-test",
                  "arn:aws:s3:::zego-terraform-test/test/terraform.tfstate"
              ]
          }
      ]
  }
  

有时候AWS身份本身有权限，但S3桶的桶策略又把它拦住了。去AWS控制台的S3页面，找到zego-terraform-test桶，进入「权限」->「桶策略」，确保里面有允许流水线身份访问的规则：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowTerraformStateAccess",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::你的AWS账号ID:user/gitbucket-terraform-user"
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::zego-terraform-test",
                "arn:aws:s3:::zego-terraform-test/test/terraform.tfstate"
            ]
        }
    ]
}

把Principal里的ARN换成你流水线用的身份ARN就行。

你提供的data "terraform_remote_state"代码末尾截断了，要确保它的配置和主后端完全一致，比如：

data "terraform_remote_state" "remote_state" {
  backend = "s3"
  config = {
    bucket = "zego-terraform-test"
    key    = "test/terraform.tfstate"
    region = "eu-west-1"
  }
}

如果这里的桶名、key或者region写错，也可能触发权限类的报错（虽然本质是找不到资源，但有时候Terraform会返回权限拒绝）。

如果你的S3桶设置了IP白名单、VPC端点或者私有访问限制，要确认GitBucket流水线的运行环境能正常访问S3：

• 检查桶策略里有没有IP限制规则，如果有，把GitBucket的出口IP加进去
• 如果GitBucket在私有网络里，确保VPC里配置了S3的VPC端点，或者流水线能通过NAT网关访问公网S3

在GitBucket流水线里先跑几个AWS CLI命令，直接验证权限：

# 列出桶内容，验证ListBucket权限
aws s3 ls s3://zego-terraform-test
# 下载状态文件，验证GetObject权限
aws s3 cp s3://zego-terraform-test/test/terraform.tfstate ./test.tfstate
# 上传测试文件，验证PutObject权限
echo "test" > test.txt && aws s3 cp test.txt s3://zego-terraform-test/test/test.txt

如果这些命令报错，那就是AWS权限的问题；如果能正常执行，再去看Terraform的详细日志（terraform init -debug），找具体的报错点。

内容的提问来源于stack exchange，提问作者davidb