Terraform aws_db_proxy动态auth块持续生成冗余diff问题求助

在使用aws_db_proxy资源时，通过动态块生成多个auth块，每当出现配置漂移或新增secret（比如添加microservice-c）时，Terraform执行plan会显示删除所有现有auth块并重新创建——即使现有块的属性没有任何变化。当auth块数量超过100个时，这种输出极度影响效率，希望能让执行计划仅显示真实差异（比如只新增对应的auth块）。

现有代码 #

资源定义 #

resource "aws_db_proxy" "rds_proxy" {
  count                  = var.create_proxy ? 1 : 0
  dynamic "auth" {
    for_each = var.secrets
    content {
      auth_scheme = var.auth_scheme
      description = auth.value.description
      iam_auth    = var.iam_auth
      secret_arn  = auth.value.arn
    }
  }

  ...
}

变量var.secrets结构 #

secrets= {
  "microservice-a" = {
    description = "..."
    arn         = "..."
  }
  "microservice-b" = {
    description = "..."
    arn         = "..."
  }
  ...
}

问题现象 #

执行plan时的输出示例：

- auth {
          - secret_arn                = "arn:xxx:secret:microservice-a" -> null
          ...
        }
      - auth {
          - secret_arn                = "arn:xxx:secret:microservice-b" -> null
          ...
        }
      + auth {
          + secret_arn                = "arn:xxx:secret:microservice-a"
          ...
        }
      + auth {
          + secret_arn                = "arn:xxx:secret:microservice-b"
          ...
        }
      + auth {
          + secret_arn                = "arn:xxx:secret:microservice-c"
          ...
        }

期望结果 #

仅显示真实差异：

+ auth {
          + secret_arn                = "arn:xxx:secret:microservice-c"
          ...
        }

1. 用secret_arn作为动态块的跟踪键 #

Terraform识别嵌套块的身份依赖于稳定的唯一标识，当前代码用服务名（比如microservice-a）作为for_each的键，虽然唯一，但AWS Provider对aws_db_proxy的auth块可能更依赖secret_arn来匹配现有资源。调整动态块的for_each，直接用secret_arn作为迭代键：

resource "aws_db_proxy" "rds_proxy" {
  count                  = var.create_proxy ? 1 : 0
  dynamic "auth" {
    # 用secret_arn作为for_each的键，确保每个auth块的跟踪标识稳定唯一
    for_each = { for s in var.secrets : s.arn => s }
    content {
      auth_scheme = var.auth_scheme
      description = auth.value.description
      iam_auth    = var.iam_auth
      secret_arn  = auth.key # 直接使用迭代键作为secret_arn
    }
  }

  ...
}

2. 避免全局变量导致全量重建 #

如果var.auth_scheme或var.iam_auth是全局变量，一旦它们的值变更，会触发所有auth块的重建。如果这些参数需要按服务独立配置，把它们移到secrets变量的每个条目里：

调整后的var.secrets结构

secrets= {
  "microservice-a" = {
    description = "..."
    arn         = "..."
    auth_scheme = "SECRETS" # 每个服务独立配置
    iam_auth    = true
  }
  "microservice-b" = {
    description = "..."
    arn         = "..."
    auth_scheme = "SECRETS"
    iam_auth    = true
  }
  ...
}

对应动态块代码

dynamic "auth" {
  for_each = var.secrets
  content {
    auth_scheme = auth.value.auth_scheme
    description = auth.value.description
    iam_auth    = auth.value.iam_auth
    secret_arn  = auth.value.arn
  }
}

3. 升级AWS Provider版本 #

部分旧版本的AWS Provider可能存在嵌套块跟踪逻辑的bug，导致无法正确识别auth块的身份。升级到最新版本的hashicorp/aws Provider，看是否能解决该问题：

terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = ">= 5.0.0" # 替换为最新稳定版本
    }
  }
}

内容的提问来源于stack exchange，提问作者Winson Tanputraman