похоже действительно на какой-то баг, но где именно?)

проверь стейт после apply

поменялся ли порядок

я же не ошибаюсь, tf хранит data в стейте?

иначе бы как он увидел изменения

можно попробовать руками стейт поменять (порядок) и проверить plan

неа, порядок такой как должен быть в терраформ полиси, значит бажина где-то в другом месте, либо у апишки амазона какой-то свой порядок

А изменение-то в каком ресурсе?

кстати да. Я так подумал, что это где-то в data.aws_caller_identity

в ресурсе aws_sqs_queue в аттрибуте policy, т.е полиси сначала добавилась туда нормально, а последующие apply вызывают такую проблему

Обновиться может? Открыл доку по последней версии, там в aws_sqs_queue.policy вообще строка ожидается. Хотя и в формате json.

только что тестил с последней версией провайдера и https://registry.terraform.io/providers/hashicorp/aws/latest/docs/data-sources/iam_policy_document, проблема та же(

в ресурсе или в дате aws_sqs_queue?

А дифф-то откуда? Я что ли отстал, а терраформ уже дифы текста значения показывает?

приведи полный выхлоп и ту часть кода с ресурсом, который меняется

module "sqs" {
  source  = "terraform-aws-modules/sqs/aws"
  version = "~> 2.0"

  depends_on = [
    module.sqs_dlq
  ]

  for_each = local.queues_sorted

  name = "${var.prefix}-${var.environment}-sqs-${var.application}-${each.key}"
  policy                    = data.aws_iam_policy_document.sqs_policy[each.key].json
}

  # module.sqs["function-name"].aws_sqs_queue.this[0] has been changed
  ~ resource "aws_sqs_queue" "this" {
        name                              = "infra-dev-sqs-function-name"
      ~ policy                            = jsonencode(
          ~ {
              ~ Statement = [
                  ~ {
                      ~ Principal = {
                          ~ AWS = [
                              - "arn:aws:iam::account-id:role/wr-infra-dev-role",
                                "arn:aws:iam::account-id:root",
                              + "arn:aws:iam::account-id:role/wr-infra-dev-role",
                            ]
                        }
                        # (4 unchanged elements hidden)
                    },
                ]
                # (2 unchanged elements hidden)
            }
        )
        # (12 unchanged attributes hidden)
    }

модуль terraform-aws-modules/sqs/aws просто обертка над самим ресурсом очереди, для удобства output, проблема не должна быть в нем насколько понимаю)
https://github.com/terraform-aws-modules/terraform-aws-sqs/blob/master/main.tf

как можно код удобнее пошарить, через pastebin?

data "aws_iam_policy_document" "sqs_policy" {
  for_each  = var.queues_list
  policy_id = "sqs_${each.key}"
  statement {
    sid    = "AllowSendReceiveFromOwnAccount"
    effect = "Allow"
    principals {
      type = "AWS"
      identifiers = [
        data.aws_caller_identity.current.account_id,
        "arn:aws:iam::${data.aws_caller_identity.current.account_id}:role/${var.prefix}-${var.environment}-role-${var.application}"
      ]
    }
    actions = [
      "sqs:ChangeMessageVisibility",
      "sqs:DeleteMessage",
      "sqs:GetQueueUrl",
      "sqs:ReceiveMessage",
      "sqs:SendMessage"
    ]
    resources = ["arn:aws:sqs:*:${data.aws_caller_identity.current.account_id}:${var.prefix}-${var.environment}-sqs-${var.application}-${each.key}"]
  }
  dynamic "statement" {
    for_each = each.value.sns_topic != null ? [1] : []

    content {
      sid    = "AllowSendFromSnsSubscriptionTopic"
      effect = "Allow"
      principals {
        type        = "Service"
        identifiers = ["sns.amazonaws.com"]
      }
      actions = [
        "sqs:SendMessage"
      ]
      resources = [
        "arn:aws:sqs:*:${data.aws_caller_identity.current.account_id}:${var.prefix}-${var.environment}-${var.application}-${each.key}",
        "arn:aws:sqs:*:${data.aws_caller_identity.current.account_id}:${var.prefix}-${var.environment}-sqs-${var.application}-${each.key}",
      ]
      condition {
        test     = "ArnEquals"
        variable = "aws:SourceArn"
        values   = [each.value.sns_topic]
      }
    }
  }
}

а вот сама полися, проблема есть даже если пихать ее просто в aws_sqs_queue ресурс инлайном, без промежуточного этого data ресурса с полиси

ясненько

значит амазон порядок меняет