用Terraform创建获取AWS RDS密钥及解决销毁资源失败问题

现有代码的问题点 #

• 缺少用户名字段：你需求是创建包含用户名+密码的密钥，但当前secret_string仅定义了password，不符合预期。
• 硬编码密码风险：密码直接写在代码中，会暴露在版本控制或配置文件里，存在安全隐患。
• 冗余数据源：已经通过aws_secretsmanager_secret_version创建了密钥版本，无需额外用data.aws_secretsmanager_secret_version读取，直接引用资源字段即可。
• Lambda引用逻辑错误：Terraform的locals是内部变量，Lambda无法直接读取，需要通过环境变量注入Secret ARN，让Lambda调用Secrets Manager API获取密钥。

优化后的代码示例 #

# 生成随机密码，避免硬编码
resource "random_password" "db_password" {
  length           = 16
  special          = true
  override_special = "!@#$%^&*()"
}

# 创建Secrets Manager密钥
resource "aws_secretsmanager_secret" "db-secret" {
  name                        = "db-secret"
  description                 = "This is the db secret"
  recovery_window_in_days     = 0
  force_overwrite_replica_secret = true
  lifecycle {
    ignore_changes = ["name"]
  }
}

# 创建包含用户名和密码的密钥版本
resource "aws_secretsmanager_secret_version" "db-secret_version" {
  secret_id     = aws_secretsmanager_secret.db-secret.id
  secret_string = jsonencode({
    username = "db_admin" # 替换为你的数据库用户名
    password = random_password.db_password.result
  })
}

# 直接从资源引用密钥，无需额外数据源
locals {
  db_creds = jsondecode(aws_secretsmanager_secret_version.db-secret_version.secret_string)
}

# 给Lambda注入Secret ARN，让Lambda自行获取密钥
resource "aws_lambda_function" "example_lambda" {
  # 其他Lambda配置（runtime、handler、filename等）
  environment {
    variables = {
      DB_SECRET_ARN = aws_secretsmanager_secret.db-secret.arn
    }
  }
}

可能原因 #

1. 目标资源名称不匹配：状态文件中可能不存在aws_secretsmanager_secret.db-secret，需要先确认状态内的资源列表。
2. 依赖资源未销毁：aws_secretsmanager_secret_version.db-secret_version依赖于密钥资源，直接销毁密钥会因依赖关系报错。
3. 状态文件路径错误：如果使用非默认路径的状态文件，未通过参数指定会导致Terraform找不到目标资源。

解决方案 #

1. 确认状态文件中的资源
   执行命令列出所有已管理的资源：

   terraform state list --var-file mystatefile.tfvars
   

   检查输出中是否存在aws_secretsmanager_secret.db-secret和aws_secretsmanager_secret_version.db-secret_version。

2. 销毁关联的所有资源
   由于密钥版本依赖于密钥，需要先销毁版本再销毁密钥，或同时指定两个目标：

   terraform apply -destroy -target="aws_secretsmanager_secret_version.db-secret_version" -target="aws_secretsmanager_secret.db-secret" --var-file mystatefile.tfvars
   

   若没有其他需要保留的资源，也可直接全量销毁：

   terraform destroy --var-file mystatefile.tfvars
   

3. 指定状态文件路径（若使用非默认路径）
   如果状态文件不是默认的terraform.tfstate，需通过-state参数指定路径：

   terraform apply -destroy -target="aws_secretsmanager_secret.db-secret" --var-file mystatefile.tfvars -state="path/to/your/statefile.tfstate"
   

内容的提问来源于stack exchange，提问作者Tina