如何阻止Terraform开发者通过nonsensitive函数查看密钥

API 探路者

2026-6-17

阻止Terraform开发者通过nonsensitive查看敏感数据的解决方案

以下是几个可行的解决思路，核心都是切断开发者对敏感状态数据的访问路径，同时保留Terraform Cloud的操作权限：

限制Terraform Cloud工作区的状态访问权限
开发者能通过terraform console执行nonsensitive命令，本质是因为他们拥有工作区状态的读取权限。在Terraform Cloud中调整工作区权限：将开发者的角色设置为**查看者（Viewer）**或自定义角色，移除其"读取状态"的权限。这样开发者只能查看配置代码和执行记录，无法下载或访问远程状态数据，自然无法在console中解密敏感值。
强制使用Terraform Cloud远程执行，禁用本地操作
配置工作区为"远程执行"模式，禁用本地执行权限。要求所有terraform init/plan/apply操作都通过Terraform Cloud的UI、CLI触发（开发者本地仅需提交代码，无需执行命令）。开发者本地没有状态文件，也无法连接到远程状态启动terraform console，彻底阻断本地访问敏感数据的可能。
结合Azure Key Vault权限与Terraform Cloud动态凭证
配置Azure Key Vault仅允许Terraform Cloud的动态托管身份读取secret，开发者本地的服务主体或个人账号无读取权限。这样即使开发者拿到配置代码，本地执行时会因Azure权限不足无法获取secret值；而Terraform Cloud运行环境通过动态凭证拥有合法权限，能正常完成资源配置。此方法从数据源层面阻断了开发者的本地访问路径。
避免在配置中直接暴露敏感资源引用
在配置里仅在需要使用secret的资源中直接引用data.azurerm_key_vault_secret.my_ultra_secret.value（该字段默认标记为敏感），不要将整个data资源作为变量传递或输出。同时确保Terraform状态中该值的敏感标记未被意外移除，减少开发者接触敏感数据的入口。