使用Terraform创建AWS接口型KMS VPC端点报错求助

这个错误的核心原因是：你指定的子网所在的可用区，KMS接口端点在当前区域（ap-southeast-1）没有提供对应的服务节点。接口型VPC端点要求每个关联的子网必须落在服务支持的可用区内，否则就会触发这个参数无效的错误。

具体排查和修复步骤： #

• 确认KMS服务在ap-southeast-1支持的可用区
  用AWS CLI执行以下命令，查看KMS接口端点支持的可用区列表：

  aws ec2 describe-vpc-endpoint-services --service-names com.amazonaws.ap-southeast-1.kms --region ap-southeast-1
  

  输出里的AvailabilityZones字段会列出所有支持的可用区（比如ap-southeast-1a、1b、1c等）。

• 核对子网的可用区
  检查你配置的<my subnet ids>里的每个子网，确认它们的可用区都在上面查到的支持列表中。如果有子网落在不支持的可用区，要么替换成支持区的子网，要么从subnet_ids数组中移除该子网。

• 验证区域配置一致性
  确认var.aws_region变量的值确实是ap-southeast-1，避免因为区域不匹配导致服务名称错误，进而找不到对应可用区的服务节点。

关于Route53记录的问题 #

你不需要手动添加Route53记录！因为你已经在Terraform配置中设置了private_dns_enabled = true，这个参数会让AWS自动为KMS接口端点创建私有DNS条目，VPC内的实例可以直接通过标准KMS域名（比如kms.ap-southeast-1.amazonaws.com）访问端点，无需额外配置。

内容的提问来源于stack exchange，提问作者Avi