用于 aws 策略列表的 terraform 模板文件

Question

我的 main.tf 下面有一个示例。 出于某种原因，它强制模板变量上的双引号在我的模板文件中环绕，而来自其他来源的示例使用下面没有引号环绕：

%{ for i in split(",",mylist) ~}
Here's a value: ${i}
%{ endfor }

我的语法在文件上没有显示错误，但在运行时会出错 "%{ for addr in split(",",source_vpcs) ~} ${addr} %{ endfor ~}"

我收到此错误： 无效的功能 争论; “str”参数的值无效：需要字符串..

如何正确使用列表？ source_vpcs = ["vpc1212","vpc21"]

#i am trying to pass this from the main.tf to pass into aws_vpc_endpoint resource and into its policy attribute.

    policy = templatefile("../templates/access_polices.tmpl", 
                   {
                     s3env = "dev"
                     account_num = "8888888"
                     source_vpcs = local.source_vpcs
                   }
               )

这是一个 tmpl 文件 ####新内容###

${jsonencode(
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "xx",
            "Effect": "Deny",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
              "*"
              ],
            "Condition": {
            "StringNotEquals": {
              "aws:SourceVpc": "${source_vpcs}",
              "s3:ResourceAccount": "${account_number}"
              }
        }
        },
        
    ]
}
)}

这是我想要实现的示例输出

"Condition": {
  "StringNotEquals": {
    "aws:SourceVpc": 
    [
      "vpc-888888888f",
      "vpc-999999999f"

    ]
    ,
    "s3:ResourceAccount":
    [
        888888888
     ]
  }

Answer 1

您将 source_vpcs 作为列表传入，然后尝试在 "," 上拆分列表。

由于您已经传入了一个列表，因此您不需要进行拆分；它已经存在于不同的元素中。因此，只需摆脱 split 并尝试以下操作：

"%{ for addr in source_vpcs ~} ${addr} %{ endfor ~}"

编辑： 这个最小的例子对我来说很好，没有错误。

template.txt

%{ for v in mylist ~}
Here's a value: ${v}
%{ endfor }

ma​​in.tf

resource "local_file" "template_test" {
  content     = templatefile("./template.txt", {
    mylist = [
      "value 1",
      "value 2"
    ]
  })
  filename = "./output.txt"
}

output.txt

Here's a value: value 1
Here's a value: value 2

编辑 2： 我不知道你想用这个 JSON 做什么，你真的应该考虑将aws_iam_policy_document data source 用于这样的 IAM 策略，但这里是创建 JSON 字符串的方法：

locals {
  source_vpcs = [
      "vpc-888888888f",
      "vpc-999999999f"
  ]
  account_number = 888888888

  jsonstring = jsonencode({
    Version = "2012-10-17",
    Statement = [
        {
            Sid = "xx",
            Effect = "Deny",
            Action = [
                "s3:GetObject"
            ],
            Resource = [
                "*"
            ],
            Condition = {
                StringNotEquals = {
                  "aws:SourceVpc" = local.source_vpcs,
                  "s3:ResourceAccount" = local.account_number
                }
            }
        }
    ]
  })
}

output "jsonstring" {
  value = local.jsonstring
}

现在您可以在任何您想使用该字符串的地方使用local.jsonstring（例如在 IAM 策略中）。如果你真的想把它输出到一个文件中，你可以添加：

resource "local_file" "jsonfile" {
  content     = local.jsonstring
  filename = "./policy.json"
}

现在policy.json 将拥有您的 JSON 内容。

编辑 3： 试试这个：

templatedir/policytemplate.json

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "xx",
            "Effect": "Deny",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
              "*"
              ],
            "Condition": {
            "StringNotEquals": {
              "aws:SourceVpc": ${jsonencode(vpc_ids)},
              "s3:ResourceAccount": "${account_number}"
              }
        }
        },
        
    ]
}

main.tf

locals {
  jsonpolicy = templatefile("./templatedir/policytemplate.json", {
    vpc_ids = [
      "vpc_1",
      "vpc_2"
    ]
    account_number = 888888
  })
}

output "jsonpolicy" {
  value = local.jsonpolicy
}