Terraform - 仅在 IAM 策略中存在资源时才添加资源

Question

我的管道将跨多个不同的 AWS 账户运行。一些账户拥有所需的所有 S3 存储桶，而一些账户缺少一些存储桶。

我需要我的 IAM 策略来包含所有 S3 存储桶的 ARN（如果存在）。如果账户有一些不存在的 s3 存储桶，则应从策略中省略这些 ARN。大致如下：

#Check if S3 bucket 1 exists
data "aws_s3_bucket" "1" {
count =  "${var.bucket1_exist == "true" ? 1 : 0 }"
  bucket = "bucket1"
}
.
.
.
.
#Check if S3 bucket N exists
data "aws_s3_bucket" "N" {
count =  "${var.bucketN_exist == "true" ? 1 : 0 }"
  bucket = "bucketN"
}

#Dynamic IAM policy
data "aws_iam_policy_document" "conditional" {
  statement {
    sid = "1"

    actions = [
      "s3:ListAllMyBuckets",
      "s3:GetBucketLocation",
    ]

    resources = [
      "data.aws_s3_bucket.1.arn",
      .
      .
      "data.aws_s3_bucket.N.arn",
  }
}

有什么方法可以动态设置此 IAM 政策？我知道 Terraform 需要显式声明现有资源，但是没有办法使用类似代码解决动态环境吗？

Answer 1

你不能用普通的 TF 来做到这一点，因为 TF 没有功能来检查某些东西是否存在。对于这样的功能，您可能必须在 TF 中为此开发一个external resource。你也可以对aws_lambda_invocation 做同样的事情。

无论您选择什么，最终都取决于您实现逻辑以检查某物是否存在。