Terraform AWS — Rôle IAM et instance profile

Une EC2 ne devrait jamais “tout pouvoir faire” par défaut. Dès qu’une machine doit lire un bucket S3, interroger une API AWS ou décrire d’autres ressources, vous devez choisir exactement quelles permissions lui donner. Sinon, la moindre fuite de credentials ou la moindre erreur de configuration ouvre beaucoup trop de droits. Ce guide introduit donc le trio essentiel d’AWS côté identité : policy, rôle et instance profile.

L’enchaînement peut sembler abstrait au début, donc retenez cette image simple : la policy est la liste des droits, le rôle est le conteneur qui porte ces droits, et l’instance profile est l’adaptateur qui permet d’attacher ce rôle à une EC2. Le but du guide est de rendre cette chaîne concrète, pas seulement de vous faire copier trois ressources HCL.

Ce que vous allez apprendre

Créer une police IAM avec aws_iam_policy_document (JSON as code)
Créer un rôle IAM avec une trust policy pour EC2
Attacher une police à un rôle avec aws_iam_role_policy_attachment
Créer un instance profile pour lier le rôle à une EC2
Ajouter le profil à une instance via iam_instance_profile
Vérifier les ARNs dans les outputs

Pourquoi IAM arrive à ce moment du parcours

Après le provider et le réseau, la question suivante est logique : que peut faire l’instance une fois démarrée ? Dans AWS, la réponse passe par IAM. Contrairement à un script local ou à un environnement de test bricolé, une EC2 ne devrait pas embarquer des clés statiques dans ses fichiers.

Ce guide montre donc la bonne direction dès le début : donner à l’instance un rôle ciblé, avec des permissions explicites et réutilisables.

Prérequis

Terraform ≥ 1.11 installé
AWS CLI configuré
Avoir lu Déployer une première EC2 et Security groups, subnet et instance, ou comprendre data, resource et outputs

Objectif

Construire une infrastructure avec :

Une policy IAM qui permet de lire depuis S3 et décrire des instances
Un rôle IAM qui assume cette policy
Un instance profile qui lie le rôle
Une EC2 qui hérite des permissions via le profil

Durée estimée : 15 minutes Coût : Gratuit (tier gratuit AWS)

Préparation

Créez le répertoire du lab :

mkdir -p ~/terraform-aws-iam-ec2
cd ~/terraform-aws-iam-ec2

Étape 1 — Déclarer le provider

Créez versions.tf :

terraform {
  required_version = ">= 1.11.0"
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0"
    }
  }
}

provider "aws" {
  region = var.aws_region
}

Étape 2 — Déclarer les variables

Créez variables.tf :

variable "aws_region" {
  description = "AWS region"
  type        = string
  default     = "us-east-1"
}

variable "instance_name" {
  description = "Name tag for the EC2 instance"
  type        = string
  default     = "lab03-instance-with-iam"
}

variable "instance_type" {
  description = "EC2 instance type"
  type        = string
  default     = "t2.micro"
}

variable "role_name" {
  description = "Name of the IAM role"
  type        = string
  default     = "lab03-ec2-role"
}

Étape 3 — Créer la policy document

Créez main.tf avec la data source aws_iam_policy_document :

# Créer une policy IAM document (JSON policy as code)
data "aws_iam_policy_document" "s3_read_policy" {
  statement {
    effect = "Allow"
    actions = [
      "s3:GetObject",
      "s3:ListBucket"
    ]
    resources = [
      "arn:aws:s3:::*",
      "arn:aws:s3:::*/*"
    ]
  }

  statement {
    effect  = "Allow"
    actions = ["ec2:DescribeInstances"]
    resources = ["*"]
  }
}

Ce bloc définit :

Statement 1 : Lire depuis S3 (ListBucket, GetObject) sur tous les buckets
Statement 2 : Décrire les instances EC2 (lire les métadonnées)

La data source génère automatiquement le JSON — pas besoin de l’écrire manuellement.