如何在Terraform中条件性使用import块？ACM证书多环境管理问题

1. 修复语法错误 #

你遇到的Invalid expression错误是因为count表达式的比较逻辑不完整：var.lb_certificate_arn != ?缺少了对比的空字符串值。修正后的表达式应为：

count = var.lb_certificate_arn != "" ? 1 : 0

2. 实现上传/导入模式的互斥逻辑 #

要达成上传证书时不执行import块的需求，同时避免两种模式冲突，需做以下调整：

步骤1：添加变量互斥校验 #

在模块的variables.tf中添加校验规则，确保lb_certificate_arn（导入模式）和secret_name（上传模式）不同时赋值：

variable "lb_certificate_arn" {
  type        = string
  description = "ARN of existing ACM certificate to import"
  default     = ""
}

variable "secret_name" {
  type        = string
  description = "Secrets Manager secret name containing certificate details"
  default     = ""
}

variable "domain_name" {
  type        = list(string)
  description = "Domain name(s) for the certificate (used in import mode)"
  default     = []
}

validation "mutually_exclusive_modes" {
  condition     = var.lb_certificate_arn == "" || var.secret_name == ""
  error_message = "Only one of lb_certificate_arn or secret_name can be set, not both."
}

步骤2：调整资源块与import块的条件逻辑 #

确保两种模式完全互斥：上传模式下import块不执行，导入模式下上传资源不创建。

上传证书资源块

保持原逻辑，仅当secret_name有值时创建资源：

resource "aws_acm_certificate" "upload_cert" {
  count             = var.secret_name != "" ? 1 : 0
  private_key       = jsondecode(data.aws_secretsmanager_secret_version.secret_version[count.index].secret_string)["private_key"]
  certificate_body  = jsondecode(data.aws_secretsmanager_secret_version.secret_version[count.index].secret_string)["certificate_body"]
  certificate_chain = jsondecode(data.aws_secretsmanager_secret_version.secret_version[count.index].secret_string)["certificate_chain"]
}

导入模式的资源块与import块

• 资源块仅在导入模式下创建，且配置需与现有证书完全匹配，避免导入后Terraform尝试覆盖配置：

resource "aws_acm_certificate" "import_cert" {
  count                     = var.lb_certificate_arn != "" ? 1 : 0
  domain_name               = var.domain_name[0]
  subject_alternative_names = var.domain_name
}

• Import块仅在导入模式下执行，确保指向的资源实例存在：

import {
  count = var.lb_certificate_arn != "" ? 1 : 0
  to    = aws_acm_certificate.import_cert[0]
  id    = var.lb_certificate_arn
}

3. 解决导入时覆盖负载均衡器配置的问题 #

导入后Terraform尝试覆盖LB配置，本质是导入的资源块配置与实际证书属性不匹配。解决方法：

• 确保aws_acm_certificate.import_cert的domain_name和subject_alternative_names与现有证书完全一致
• 可选：通过数据源自动获取现有证书属性，避免手动输入错误：

data "aws_acm_certificate" "existing" {
  count             = var.lb_certificate_arn != "" ? 1 : 0
  arn               = var.lb_certificate_arn
  most_recent       = true
}

resource "aws_acm_certificate" "import_cert" {
  count                     = var.lb_certificate_arn != "" ? 1 : 0
  domain_name               = data.aws_acm_certificate.existing[0].domain_name
  subject_alternative_names = data.aws_acm_certificate.existing[0].subject_alternative_names
}

4. 使用说明 #

• 上传模式：设置var.secret_name，留空var.lb_certificate_arn，执行terraform apply即可上传证书
• 导入模式：设置var.lb_certificate_arn及对应的域名信息（或用数据源自动获取），先执行terraform plan -generate-config-out=generated.tf预览配置，再执行terraform apply完成导入

内容的提问来源于stack exchange，提问作者Karthik Vishal