如何从Terraform文件提取非敏感机密并设置为环境变量？

一、基础流程：通过输出变量暴露非敏感值 #

首先在你的Terraform配置中添加输出变量，只暴露非敏感的变量（比如示例中的tag）：

output "tag" {
  value       = var.tag
  description = "EC2实例类型（非敏感）"
  sensitive   = false # 显式声明非敏感，可选，原变量已标记sensitive=false时可省略
}

注意：敏感变量user_name不要添加输出，若必须输出需设置sensitive = true，避免泄露敏感数据。

执行terraform apply完成配置部署后，Terraform会生成对应的输出数据。

二、手动提取并设置环境变量 #

针对单个非敏感输出，直接用命令提取并赋值：

# Bash/zsh环境
export TF_VAR_TAG=$(terraform output -raw tag)

# PowerShell环境
$env:TF_VAR_TAG = terraform output -raw tag

三、自动化批量处理方案 #

如果有多个非敏感输出，可通过脚本自动解析并设置环境变量，以下是Bash脚本示例（需提前安装jq工具用于JSON解析）：

#!/bin/bash

# 获取所有输出的JSON数据
TERRAFORM_OUTPUTS=$(terraform output -json)

# 遍历所有输出项，过滤非敏感值并设置环境变量
for OUTPUT_KEY in $(echo "$TERRAFORM_OUTPUTS" | jq -r 'keys[]'); do
  IS_SENSITIVE=$(echo "$TERRAFORM_OUTPUTS" | jq -r ".${OUTPUT_KEY}.sensitive")
  if [ "$IS_SENSITIVE" == "false" ]; then
    OUTPUT_VALUE=$(echo "$TERRAFORM_OUTPUTS" | jq -r ".${OUTPUT_KEY}.value")
    # 环境变量名采用大写+前缀的规则，可根据需求自定义格式
    ENV_VAR_NAME="TF_VAR_$(echo "$OUTPUT_KEY" | tr '[:lower:]' '[:upper:]')"
    export "$ENV_VAR_NAME"="$OUTPUT_VALUE"
    echo "已设置环境变量：$ENV_VAR_NAME=$OUTPUT_VALUE"
  fi
done

执行脚本前需确保已完成terraform apply或terraform refresh，保证输出数据为最新状态。

四、CI/CD流程中的自动化实现 #

以GitHub Actions为例，可在工作流中添加步骤批量设置环境变量：

- name: 提取非敏感Terraform输出为环境变量
  run: |
    terraform output -json | jq -r 'to_entries[] | select(.value.sensitive == false) | "TF_VAR_\(.key | ascii_upcase)=\(.value.value)"' >> $GITHUB_ENV

后续工作流步骤即可直接使用这些环境变量。

内容的提问来源于stack exchange，提问作者Marian