Terraform: как импортировать кросс-аккаунт AWS? - PullRequest
Новая
       38

Terraform: как импортировать кросс-аккаунт AWS?

0 голосов
/ 01 ноября 2019

Как импортировать существующий ресурс AWS в состояние Terraform, где этот ресурс существует в другой учетной записи? 

terraform import module.mymodule.aws_iam_policy.policy arn:aws:iam::123456789012:policy/mypolicy

выдает следующую ошибку: 

Error: Cannot import non-existent remote object

While attempting to import an existing object to aws_iam_policy.policy, the
provider detected that no object exists with the given id. Only pre-existing
objects can be imported; check that the id is correct and that it is
associated with the provider's configured region or endpoint, or use
"terraform apply" to create a new remote object for this resource.

Ресурс былсоздан в одной учетной записи с использованием другого поставщика, определенного в модуле mymodule: 

module "mymodule" {
    // ... define variables for the module
}

// within the module
provider "aws" {
  alias = "cross-account"
  region = "eu-west-2"
  assume_role {
    role_arn = var.provider_role_arn
  }
}

resource "aws_iam_policy" "policy" {
  provider = "aws.cross-account"
  name        = var.policy-name
  path        = var.policy-path
  description = var.policy-description

  policy = var.policy-document
}

Как импортировать ресурсы между учетными записями?

Обновление: с использованием флага -provider,Я получаю другую ошибку: 

Error: Provider configuration not present

To work with module.mymodule.aws_iam_policy.policy (import
id "arn:aws:iam::123456789012:policy/somepolicytoimport") its original provider
configuration at provider.aws.cross-account is required, but it has been
removed. This occurs when a provider configuration is removed while objects
created by that provider still exist in the state. Re-add the provider
configuration to destroy
module.mymodule.aws_iam_policy.policy (import id
"arn:aws:iam::123456789012:policy/somepolicytoimport"), after which you can remove
the provider configuration again.

1 Ответ

0 голосов
/ 03 ноября 2019

Я думаю, вы должны взять на себя роль второго счета следующим образом. 

provider "aws" {
  assume_role {
    role_arn     = "arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME"
    session_name = "SESSION_NAME"
    external_id  = "EXTERNAL_ID"
  }
}

[1]: https://www.terraform.io/docs/providers/aws/index.html

...