Terraform для включения журналов потока vpc на Amazon S3

Question

Я работаю над сценарием terraform для автоматизации создания ресурса aws. Как часть этого я создаю vpc и пытаюсь включить журналы потока vpc для этого. Я создал корзину s3, а также создал роль iam, как упомянуто в документации terraform https://www.terraform.io/docs/providers/aws/r/flow_log.html

Мой код terraform приведен ниже

data "aws_s3_bucket" "selected" {
  bucket = "${var.s3_bucket_name}"
}

resource "aws_flow_log" "vpc_flow_log" {
    count = "${var.enable_vpc_flow_log}"
    iam_role_arn    = "${aws_iam_role.test_role.arn}"
    log_destination      = "${data.aws_s3_bucket.selected.arn}"
    log_destination_type = "s3"
    traffic_type         = "ALL"
    vpc_id               = "${var.vpc_id}"

}

resource "aws_iam_role" "test_role" {
  name = "example"
  count = "${var.enable_vpc_flow_log}"
  assume_role_policy = <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "vpc-flow-logs.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF
}
resource "aws_iam_role_policy" "example" {
  name = "example"
  count = "${var.enable_vpc_flow_log}"
  role = "${aws_iam_role.test_role.id}"
  policy = <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}
EOF
}

Когда я выполняю план terraform, я получаю следующую ошибку

Error: module.enable_vpc_flow_log.aws_flow_log.vpc_flow_log: "log_group_name": required field is not set

Error: module.enable_vpc_flow_log.aws_flow_log.vpc_flow_log: : invalid or unknown key: log_destination

Error: module.enable_vpc_flow_log.aws_flow_log.vpc_flow_log: : invalid or unknown key: log_destination_type

Согласно документации terraform log_group_name является необязательным, и мы должны указывать его значение, только если мы выбираем cloud_watch_logs в качестве log_destination_type

Может кто-нибудь помочь мне решить мою ошибку и включить журналы потока vpc для s3.

Answer 1

Я обновил свою версию terraform с 0.11.8 до 0.11.10. Теперь я могу настроить журналы потока vpc на s3 без каких-либо ошибок, используя приведенный ниже блок ресурсов.

resource "aws_flow_log" "vpc_flow_log" {
    log_destination      = "${var.s3_bucket_arn}"
    log_destination_type = "s3"
    traffic_type         = "ALL"
    vpc_id               = "${var.vpc_id}"
}

Answer 2

Я получил эту ошибку, потому что я использовал 1.41 провайдера AWS. Просматривая код, я обнаружил, что поддержка этих свойств была выпущена только в 1.42, Обновление до 1.49 сделал трюк.

Answer 3

При отправке журналов VPC на s3 вы не можете установить log_group_name, но вы можете добавить имя группы в arn s3, это автоматически создаст для вас папку.

      resource "aws_flow_log" "vpc_flow_log" {
log_destination      = "${var.s3_bucket_arn}/group_name"
log_destination_type = "s3"
traffic_type         = "ALL"
vpc_id               = "${var.vpc_id}"
}