Terraform跨服务复用RDS密码失败及Secrets Manager创建报错求助

问题根源 #

多次调用secrets-manager模块，每次调用都会初始化独立的random_password和aws_secretsmanager_secret资源实例，导致尝试创建多个同名Secrets Manager密钥，触发ResourceExistsException报错。

解决方案 #

1. 单例模块调用，通过输出共享资源 #

只在根模块或全局统一模块中调用一次secrets-manager模块，生成唯一的密码和密钥，其他模块直接引用该模块的输出，避免重复创建资源。

示例目录结构：

.
├── main.tf
├── modules/
│   ├── secrets-manager/
│   │   ├── main.tf
│   │   ├── outputs.tf
│   ├── rds/
│   │   ├── main.tf
│   ├── ecs/
│   │   ├── main.tf

根模块main.tf中仅调用一次密钥模块：

module "rds_secret" {
  source = "./modules/secrets-manager"

  secret_name     = "rds-db-password"
  password_length = 16
}

RDS模块引用密码：

# modules/rds/main.tf
resource "aws_db_instance" "main" {
  # 其他RDS配置项
  password = module.rds_secret.db_password
}

ECS模块引用密钥ARN：

# modules/ecs/main.tf
resource "aws_ecs_task_definition" "main" {
  # 其他ECS任务配置项
  secrets = [
    {
      name      = "DB_PASSWORD"
      valueFrom = module.rds_secret.secret_arn
    }
  ]
}

2. 模块内添加条件控制，避免重复创建 #

如果需要在多模块中引用，修改secrets-manager模块，通过变量控制资源创建逻辑，首次调用创建资源，后续调用通过数据源引用已存在的密钥。

模块变量定义（variables.tf）：

variable "secret_name" {
  type        = string
  description = "Secrets Manager密钥名称"
}

variable "create_resource" {
  type        = bool
  description = "是否创建新的密钥资源"
  default     = true
}

variable "password_length" {
  type        = number
  description = "生成密码的长度"
  default     = 16
}

模块资源逻辑（main.tf）：

# 仅在create_resource为true时生成密码和创建密钥
resource "random_password" "db_password" {
  count            = var.create_resource ? 1 : 0
  length           = var.password_length
  special          = true
  override_special = "!@#$%^&*()"
}

resource "aws_secretsmanager_secret" "main" {
  count       = var.create_resource ? 1 : 0
  name        = var.secret_name
  description = "RDS数据库密码存储密钥"
}

resource "aws_secretsmanager_secret_version" "main" {
  count         = var.create_resource ? 1 : 0
  secret_id     = aws_secretsmanager_secret.main[0].id
  secret_string = jsonencode({ password = random_password.db_password[0].result })
}

# create_resource为false时，引用已存在的密钥
data "aws_secretsmanager_secret" "existing" {
  count = var.create_resource ? 0 : 1
  name  = var.secret_name
}

data "aws_secretsmanager_secret_version" "existing" {
  count     = var.create_resource ? 0 : 1
  secret_id = data.aws_secretsmanager_secret.existing[0].id
}

模块输出定义（outputs.tf）：

output "db_password" {
  type        = string
  description = "RDS数据库密码"
  value       = var.create_resource ? random_password.db_password[0].result : jsondecode(data.aws_secretsmanager_secret_version.existing[0].secret_string).password
}

output "secret_arn" {
  type        = string
  description = "Secrets Manager密钥ARN"
  value       = var.create_resource ? aws_secretsmanager_secret.main[0].arn : data.aws_secretsmanager_secret.existing[0].arn
}

调用方式：

• 首次创建（如根模块）：

module "rds_secret" {
  source = "./modules/secrets-manager"
  secret_name     = "rds-db-password"
  create_resource = true
}

• 其他模块引用时：

module "rds_secret_ecs" {
  source = "./modules/secrets-manager"
  secret_name     = "rds-db-password"
  create_resource = false
}

3. 启用Terraform状态锁定（可选） #

配置S3+DynamoDB作为Terraform状态存储并启用锁定，避免并发执行时的状态冲突，进一步防止重复创建资源的情况。

关键注意事项 #

• 确保Secrets Manager密钥名称全局唯一，不要在不同模块调用中使用相同名称
• 优先选择单例模块调用方案，逻辑简洁且不易出错
• 使用数据源引用时，需确保目标密钥已存在，否则会触发资源不存在的报错

内容的提问来源于stack exchange，提问作者user23663430