Terraform 计划显示已应用的 CanonicalUser 更改

Question

我有一个 IAM 策略，允许我的 CloudFront 读取和列出我的 S3 存储桶中的对象，指定如下：

[...]

Effect = "Allow"
    Principal = {
      "CanonicalUser" : "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
    }
    Action : [
      "s3:GetObject",
      "s3:ListBucket"
    ],

[...]

有了这个已经应用，任何时候我再次运行terraform plan更改都会出现关于Principal / CanonicalUser这非常不方便，因为模糊了 Z78E6221F6393D1356681DB398 的 rest。

有什么解决办法吗？

Answer 1

我设法在 terraform 配置中用AWS类型标识符替换CanonicalUser来解决它：

所以我上面的政策将改为：

Principal = {
    "AWS" : arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity XXXXXXXXXXXXXX
}

有了这个，当什么都没有改变时，计划不会显示任何变化