寻求支持默认模板与导入的Terraform secret_value资源

核心思路是通过变量控制自定义值的启用，结合原生资源实现默认密文生成与自定义值导入的兼容，完全满足你 staging 环境自动生成、生产环境导入自定义连接串的需求。

完整配置示例 #

# 定义自定义连接串变量，生产环境可传入或导入
variable "custom_db_connection_string" {
  type        = string
  default     = ""
  description = "自定义数据库连接串，仅生产环境使用"
}

# 仅当未提供自定义连接串时生成默认密码
resource "random_password" "db_password" {
  length           = 64
  special          = false
  count            = var.custom_db_connection_string == "" ? 1 : 0
}

# 计算最终连接串：优先使用自定义值，否则用默认生成的
locals {
  default_connection_string = "postgresql://postgres:${random_password.db_password[0].result}@service-url:5432/postgres"
  db_connection_string      = var.custom_db_connection_string != "" ? var.custom_db_connection_string : local.default_connection_string
}

# 用于存储并支持导入的连接串资源
resource "terraform_data" "db_connection_string" {
  input = local.db_connection_string

  lifecycle {
    # 导入后忽略默认值的变更，保留自定义导入的内容
    ignore_changes = [input]
  }
}

使用方式 #

非生产环境（如staging） #

直接执行：

terraform apply

系统会自动生成默认密码并拼接连接串，terraform_data资源会存储该默认值，后续资源可通过terraform_data.db_connection_string.input引用。

生产环境 #

有两种方式配置自定义连接串：

1. 通过变量传入：

terraform apply -var="custom_db_connection_string=postgresql://postgres:your-rds-password@rds-service-url:5432/postgres"

2. 通过导入命令导入：

terraform import terraform_data.db_connection_string "postgresql://postgres:your-rds-password@rds-service-url:5432/postgres"

导入后执行terraform apply，lifecycle.ignore_changes会阻止Terraform将连接串重置为默认值，确保自定义值持续生效。

方案优势 #

• 无需依赖第三方Provider，完全基于Terraform原生资源实现
• 状态管理安全，连接串存储在Terraform状态文件中，与其他资源统一管理
• 环境隔离清晰，非生产环境自动生成、生产环境手动配置的逻辑完全分离

内容的提问来源于stack exchange，提问作者Vlad Miller