Terraform：创建 IAM 角色时出错。 MalformedPolicyDocument：已禁止字段资源答案

【问题标题】：Terraform: Error creating IAM Role. MalformedPolicyDocument: Has prohibited field ResourceTerraform：创建 IAM 角色时出错。 MalformedPolicyDocument：已禁止字段资源
【发布时间】：2017-11-17 20:26:31
【问题描述】：

我的 TF 代码给了我一个错误：

  /*
   * Policy: AmazonEC2ReadOnlyAccess
   */
  assume_role_policy = <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:ListMetrics",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:Describe*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "autoscaling:Describe*",
            "Resource": "*"
        }
    ]
}
EOF

我从https://console.aws.amazon.com/iam/home?region=us-west-2#/policies/arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess$jsonEditor 复制并粘贴了策略

* aws_iam_role.<role name>: Error creating IAM Role <role name>: MalformedPolicyDocument: Has prohibited field Resource
status code: 400, request id: <request id>

不知道为什么它说资源被禁止。

【问题讨论】：

stackoverflow.com/questions/34188013/…
您在assume_role_policy 中设置您的政策内容，您应该在这里定义谁可以担任此角色的政策，而不是此角色可以做什么。尝试将此策略移动到 aws_iam_policy 资源并将此 assume_role_policy 设置为以下 @Gangaraju 的显示方式。

标签： amazon-web-services amazon-iam terraform

【解决方案1】：

您需要提及sts:AssumeRole。您可以使用aws_iam_role_policy_attachment 直接附加策略，而不是复制现有策略。

resource "aws_iam_role" "ec2_iam_role" {
  name = "ec2_iam_role"
  assume_role_policy = <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "ec2.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF
}

resource "aws_iam_role_policy_attachment" "ec2-read-only-policy-attachment" {
    role = "${aws_iam_role.ec2_iam_role.name}"
    policy_arn = "arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess"
}

【讨论】：

如果您想在资源级别和服务级别添加额外的权限怎么办？ IE。除了服务之外，另一个 IAM 角色的 ARN。或者您是否需要在那时创建单独的角色？
您可以使用 IAM 角色而不是服务向同一代入角色策略添加更多语句，或者您也可以创建另一个角色。您尝试在awspolicygen.s3.amazonaws.com/policygen.html、policysim.aws.amazon.com 生成和模拟您的策略

【解决方案2】：

我在使用角色 arn 时遇到过类似的问题。当我尝试使用 aws_iam_role_policy_attachment 时 - 我收到错误，因为角色名称包含不受支持的字符。

我创建aws_iam_role_policy 的原因如下：

resource "aws_iam_role_policy" "api-invoker" {
    provider = <some provider>
    role     = aws_iam_role.api-invoker.id
    policy   = data.aws_iam_policy_document.execute-api.json
}

data "aws_iam_policy_document" "execute-api" {
    statement {
     sid = "all"
     actions = [
       "execute-api:*",
     ]
     resources = [
       "*"
     ]
   }
}

【讨论】：

【解决方案3】：

我在创建策略以从另一个 AWS 账户担任角色时遇到了同样的问题。所以，我在可信实体中添加了另一个 AWS 账户 ID，然后问题就解决了。

【讨论】：