在使用 IAM 策略变量的 AWS 策略上的 Terraform 中使用模板文件

Question

我正在尝试使用 Terraform 在 AWS 中构建云基础设施。我想通过 terraform 的 templatefile 函数为使用基于属性的授权 (ABAC) 的 S3 存储桶添加策略。我的问题是 terraform 和 AWS 使用的变量语法是相同的 (${...})。

这是策略模板：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowReadRole1",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3:::${bucketName}/*",
            "Effect": "Allow",
            "Principal": "*",
            "Condition": {
                "s3:ExistingObjectTag/myid": "${aws:PrincipalTag/myid}"
            }
        }
    ]
}

terrafrom 文件的相关部分是：

resource "aws_s3_bucket_policy" "mybuckets-policy" {
  bucket = aws_s3_bucket.mybuckets[count.index].bucket
  policy = templatefile("${path.module}/bucket-policy.json", {
    bucketName = aws_s3_bucket.mybuckets[count.index].bucket
  })
  count = 2
}

所以我想要的是模板的 ${bucketName} 部分被 terraform 替换，同时保持 AWS 表达式 ${aws:PrincipalTag/user-id} 到位。但是运行上面配置的 terraform 会导致错误消息

Call to function "templatefile" failed: ./bucket-policy.json:14,49-50: Extra characters after interpolation expression; Expected a closing brace to end the interpolation expression, but found extra characters..

如果我在我的模板中放置另一个项目 ${foobar} 而没有为其指定值，则错误消息是

Invalid value for "vars" parameter: vars map does not contain key "foobar", referenced at ./bucket-policy.json:11,30-36.

如何让 Terraform 对模板文件进行部分评估，同时保持所有其他项目完好无损？

Answer 1

在上面的示例中，语法 ${} 将导致 Terraform 尝试将该字段作为插值函数求值。因为你想按字面意思使用这个值而不是作为插值函数，所以需要使用两个 $ 符号进行双重转义。

$${aws:PrincipalTag/user-id}

在使用 IAM 策略变量的 AWS 策略上的 Terraform 中使用模板文件

Use templatefile in Terraform on AWS policy which uses IAM policy variables

amazon-web-services

terraform

terraform-template-file

terraform-provider-aws

aws-policies