有没有办法将 CORS 规则添加到 Terraform aws_s3_bucket 数据源？

Question

我有一个不是通过 Terraform 创建的现有存储桶。我目前正在对该存储桶设置策略以获得额外的访问权限。我需要将cors_rule 添加到存储桶中，但我发现的所有内容都表明您需要创建resource 才能添加cors 规则。有没有办法将cors_rule 添加到现有的存储桶数据源？

• 将 CORS 添加到正在创建的存储桶中：https://registry.terraform.io/providers/hashicorp/aws/latest/docs/resources/s3_bucket#using-cors
• 桶数据源文档：https://registry.terraform.io/providers/hashicorp/aws/latest/docs/data-sources/s3_bucket

data "aws_s3_bucket" "my_bucket" {
  bucket = "my-bucket"

  # This produces a failure on plan
  cors_rule {
    allowed_headers = ["*"]
    allowed_methods = ["GET", "HEAD"]
    allowed_origins = [
      "https://example.my-website.com"
    ]
    expose_headers  = [
      "Access-Control-Allow-Origin",
      "ETag"
    ]
    max_age_seconds = 3000
  }
}

resource "aws_s3_bucket_policy" "allow_access" {
  bucket = data.aws_s3_bucket.my_bucket.id
  policy = data.aws_iam_policy_document.allow_access.json
}

data "aws_iam_policy_document" "allow_access" {
  statement {
    sid = "Access"

    principals {
      type = "AWS"
      identifiers = ["arn:aws:iam::123456789012:user/test"]
    }

    actions = [
      "s3:GetObject",
      "s3:GetBucketLocation",
      "s3:ListBucket",
    ]

    resources = [
      data.aws_s3_bucket.my_bucket.arn,
      "${data.aws_s3_bucket.my_bucket.arn}/*"
    ]
  }
}

Answer 1

你真幸运。就在今天/昨天发布了 AWS 提供商的 4.0.0 版。
新的提供程序版本在 S3 存储桶处理方面进行了很多重构。您现在拥有独立的 s3_bucket_cors_configuration 资源，而不是直接在 aws_s3_bucket 资源上的 CORS 设置。这意味着您现在可以配置 CORS 设置（以及许多其他设置），而无需实际将存储桶本身置于您的状态。

resource "aws_s3_bucket_cors_configuration" "example" {
  bucket = aws_s3_bucket.example.bucket

  cors_rule {
    allowed_headers = ["*"]
    allowed_methods = ["PUT", "POST"]
    allowed_origins = ["https://s3-website-test.hashicorp.com"]
    expose_headers  = ["ETag"]
    max_age_seconds = 3000
  }

  cors_rule {
    allowed_methods = ["GET"]
    allowed_origins = ["*"]
  }
}

唯一需要注意的是，您需要升级到 AWS 提供商的 4.0.0 版本，并附带所有重大更改。

Answer 2

您只能修改由 terraform 管理的资源，不能修改作为数据源引入的资源。您可以做的是为您的存储桶创建资源，然后导入现有存储桶：

terraform import aws_s3_bucket.my_bucket my-bucket

导入命令将为您提供存储桶上设置的所有属性的列表。对于您不想使用 terraform 管理的属性，请在生命周期块上使用 ignore 参数。