能否用Git SHA标记Terraform创建的资源？求简洁实现方案

希望使用创建资源时的Git SHA为Terraform资源打标签，实现类似random_id那种一次性生成后不再变更的效果。示例参考random_id的用法：

resource "random_id" "example" {
  ...
}

resource "aws_*" "example" {
  tags = { 
    ...
    random_id = resource.random_id.example.hex
  }
}

理想的实现方式类似如下（希望Terraform有内置支持）：

resource "hypothetical_static_value" "example" {
  value = var.git_sha
}

resource "aws_*" "example" {
  tags = { 
    ...
    created_sha = resource.hypothetical_static_value.example.value
  }
}

目前想到几种可行但过于复杂的方案：

• 利用random_id的prefix参数，通过本地值剥离随机部分仅保留前缀；
• 为每个资源添加lifecycle { ignore_changes = [tags["created_sha"]] }；
• 将Git SHA存储为Secret或SSM参数，通过数据查询引用，但会占用不必要的云资源；
• 若仅需时间戳，可使用time_static资源。

想知道有没有简洁易用的实现方法？

最直接且轻量化的方式是使用null_resource配合triggers参数，无需额外云资源，也不用逐个配置生命周期规则，就能实现“首次部署记录初始值，后续不变更”的需求：

# 首次部署时记录当前的Git SHA，后续即使var.git_sha更新，该值也不会变化
resource "null_resource" "created_sha" {
  triggers = {
    git_sha = var.git_sha
  }
}

# 在资源标签中引用该固定值
resource "aws_instance" "example" {
  # 其他资源配置...

  tags = {
    Name        = "example-instance"
    Created_SHA = null_resource.created_sha.triggers.git_sha
  }
}

原理说明 #

null_resource本身不创建任何云资源，它的triggers参数会在首次创建时被记录到Terraform状态文件中。后续部署时，即使var.git_sha的值发生变化，只要不手动执行terraform taint null_resource.created_sha或修改null_resource的其他触发条件，Terraform就不会重新创建该资源，triggers.git_sha会始终保留首次部署时的初始值。

如果需要更新这个SHA值（比如重新部署时要记录新的SHA），只需执行terraform taint null_resource.created_sha，下次部署时就会重新生成并记录新的Git SHA。

内容的提问来源于stack exchange，提问作者davidpricedev