Versión Terraform: 0.11
Estoy ejecutando varios clústeres de eks e intento habilitar la cuenta de servicio basada en roles de IAM en todos los clústeres siguiendo este documento: https://www.terraform.io/docs/providers/aws/r/eks_cluster.html#enabling-iam-roles -para-cuentas-de-servicio
Esto funciona cuando codifico el nombre del clúster en la declaración de política y creo varias declaraciones.
data "aws_iam_policy_document" "example_assume_role_policy" { # for cluster 1 statement { actions = ["sts:AssumeRoleWithWebIdentity"] effect = "Allow" condition { test = "StringEquals" variable = "${replace(aws_iam_openid_connect_provider.example1.url, "https://", "")}:sub" values = ["system:serviceaccount:kube-system:aws-node"] } principals { identifiers = ["${aws_iam_openid_connect_provider.example1.arn}"] type = "Federated" } } }Como tengo varios clústeres, quiero poder generar la declaración dinámicamente, así que hice los siguientes cambios:
Creé una variable de count y cambié los valores en los directores y la condición
count = "${length(var.my_eks_cluster)}" condition { test = "StringEquals" variable = "${replace(element(aws_iam_openid_connect_provider.*.url, count.index), "https://", "")}:sub" values = ["system:serviceaccount:kube-system:aws-node"] } principals { identifiers = ["${element(aws_iam_openid_connect_provider.*.url, count.index)}"] type = "Federated" }Terraform ahora puede encontrar los clústeres PERO también generar múltiples políticas. Y esto no funcionará, ya que en la siguiente sintaxis, la política de roles asumidos no toma la lista
resource "aws_iam_role" "example" { assume_role_policy = "${data.aws_iam_policy_document.example_assume_role_policy.*.json}" name = "example" }Parece que en lugar de crear varias políticas, necesito generar varias declaraciones en una política (para poder agregar a una iam_role). ¿Alguien ha hecho algo similar antes? Gracias.
Solo desea una política, por lo que no debe usar el argumento de count en su política. En su lugar, lo que desea tener son declaraciones múltiples, como esta
data "aws_iam_policy_document" "example" { statement { # ... } statement { # ... } } Ahora podría codificar esto directamente (tal vez sería un buen comienzo para probar si funciona). Si desea generar esto dinámicamente a partir de una variable, necesitará un bloque dynamic como se describe aquí: https://www.terraform.io/docs/configuration/expressions.html
En tu caso probablemente sería
data "aws_iam_policy_document" "example" { dynamic "statement" { for_each = aws_iam_openid_connect_provider content { actions = ["sts:AssumeRoleWithWebIdentity"] effect = "Allow" condition { test = "StringEquals" variable = "${replace(statement.value.url, "https://", "")}:sub" values = ["system:serviceaccount:kube-system:aws-node"] } principals { identifiers = ["${statement.value.arn}"] type = "Federated" } } } }Sin embargo, creo que "dinámico" solo está disponible desde TF 0.12.