Можно перед запуском терраформа задавать креденшелы, а он их пусть как дефолтные ест.
Соответственно, разные среды запускаются с разными креденшелами, а терраформ от этого абстрагирован

передавай просто разные backend конфиги для окружений

а как он поймет что он прод, или дев?

+1

бакет и ключ разные, так не выйдет

можно как вариант хранить стейты в одном бакете - лучше в новом, раз со старого переезжаете

тогда для них креды можно задать прямо в конфиге

так можно, но есть другой терраформ, как на проде, так и на деве, что юзает стейт файл
мне нужны стейт файлы на разных акк в общем)

единственное, что ресурсы для старой среды нужно будет создавать со старыми кредами - тут на помощь придут дефолтные креды. Терраформ предпринимает несколько попыток найти креды для aws провайдера, я не помню точно в каком порядке, это есть на их сайте. Конфиг, переменные окружения. параметры запуска терраформа, ещё пара способов. Суть в том, чтобы выпилить креды из конфига и передавать их при запуске. Тогда можно каждый раз для разной среды задавать разные креды, а терраформу будет пофигу, он просто возьмёт те, которые дали, и пойдёт там менеджить ресурсы

да так оно и используется у меня. Я говорю о бекенде, а не о провайдере...

удобно иметь директорию с конфигами,
там внутри на каждое окружение, backend/provider конфигурации.
в общем и целом примерно как у terragrunt :)

вот этого не уловил, почему нужны на разных?

management ветка создает всякие ресурсы, которые потом юзается терраформом из стейта, который деплоит serverless

а я вот пока и не могу понять структуру и порядок)

То есть один стейт контролирует ресурсы, которые использует другой стейт? не понял...

data "terraform_remote_state" "management_remote_state" {
 backend = "s3"

 config = {
   bucket = var.management_state_bucket
   key    = var.management_state_key
   region = var.region
 }
}

это юзается при депле serverless (там эндпоинты и arn разные)

я же не буду за этим кросс акк бегать

зависит от враппера.
я смотрю какие конфиги есть в директории, рекурсивно вплоть до описания конфигов провайдера для инфрастуктурного модуля
вытаскиваю секреты в рантайме, соответственно и запускаю нужное.