如何安全地从 aws_iam_policy_attachment 升级到 aws_iam_role_policy_attachment？

Question

资源aws_iam_policy_attachment有以下警告

警告：aws_iam_policy_attachment 资源会创建 IAM 策略的独占附件。在整个 AWS 账户中，附加单个策略的所有用户/角色/组必须由单个 aws_iam_policy_attachment 资源声明。这意味着即使通过任何其他机制（包括其他 Terraform 资源）具有附加策略的任何用户/角色/组都将被该资源撤销该附加策略。请考虑使用aws_iam_role_policy_attachment、aws_iam_user_policy_attachment 或aws_iam_group_policy_attachment。这些资源不会强制附加 IAM 策略。

我们更改了部分代码

resource "aws_iam_policy_attachment" "logs" {
  name       = "${var.function_name}-logs"
  roles      = [aws_iam_role.lambda.name]
  policy_arn = aws_iam_policy.logs[0].arn
}

到

resource "aws_iam_role_policy_attachment" "logs" {
  name       = "${var.function_name}-logs"
  role       = aws_iam_role.lambda.name
  policy_arn = aws_iam_policy.logs[0].arn
}

上面的更改很简单，但现在 terraform 想要删除 aws_iam_policy_attachment 资源并添加 aws_iam_role_policy_attachment。以前，当我们使用共享托管 IAM 资源为模块应用 terraform 时，它会将策略与 30 个不同的 IAM 角色分离，迫使我们通过查找并重新应用我们的 terraform 模块来重新附加它们。

使用不那么危险的资源aws_iam_role_policy_attachment 的安全策略是什么？

我们目前的策略

1. 将托管 IAM 策略重新创建为内联策略并添加到角色

2. 使用 AWS 控制台手动删除托管策略

   • 使用此 CLI 命令可能更容易。它只是出现在控制台中。

     aws iam detach-role-policy \
       --role-name my-role-name \
       --policy-arn arn:aws:iam:1234567890:role/logs
     

3. 从状态中移除坏资源

   • 可能不需要，因为它已在上一步中删除
   • terraform state rm aws_iam_policy_attachment.logs

4. 目标应用新附件

   • target apply -target aws_iam_role_policy_attachment.logs

5. 完整性检查

   • terraform plan

6. 从第一步中删除内联策略

Answer 1

关于状态操作的说明

每当我要进行州手术时，我都会将州更改为本地州。做我所有的操作。然后运行一个计划以确保我的更改没有引起差异。然后将状态放回您的propper后端。这篇文章解释了如何做到这一点：

https://medium.com/faun/cleaning-up-a-terraform-state-file-the-right-way-ab509f6e47f3

但至少，至少这样做：terraform state pull > backup.tfstate

为您的任务说明命令

首先，让 terraform 停止跟踪您执行此操作的旧方式 terraform state rm aws_iam_policy_attachment.logs

然后只需对新的关联资源进行导入：

terraform import aws_iam_role_policy_attachment.logs lambda-role/arn:aws:iam::xxxxxxxxxxxx:policy/policy-name

每个文档：https://registry.terraform.io/providers/hashicorp/aws/latest/docs/resources/iam_role_policy_attachment

执行terraform plan，您应该看不到任何差异。

结论

这使您无需触及实际的 AWS 配置。您甚至一分钟都不会删除任何角色或权限。如果您提前备份状态，它是安全且可验证的。