如何通过Terraform实现GCP与AWS Secrets Manager的密钥同步？

可行性 #

完全可行。Terraform同时支持GCP和AWS的官方Provider，你可以通过配置双Provider，从GCP Secrets Manager拉取密钥值，再将其写入AWS Secrets Manager，实现跨云密钥同步。

具体逻辑很直接：用Terraform的数据源读取GCP侧的目标密钥，再通过AWS的资源类型将该值写入AWS Secrets Manager，只要执行terraform apply就能完成同步。

是否建议这么做？ #

得看你的具体场景：

• 推荐这么做的情况：
  • 团队已经把Terraform作为统一的基础设施管理工具，希望密钥变更和基础设施部署走同一套流程，减少额外运维环节。
  • 你已经明确把GCP Secrets Manager作为密钥的唯一可信源，所有密钥变更都从这里发起，避免多端修改导致的不一致。
• 不推荐的情况：
  • 对同步实时性要求高：Terraform是触发式同步，只有执行部署命令才会同步，没法做到密钥一变就同步到AWS。这种场景下更适合用云原生的事件驱动方案，比如用GCP Cloud Function监听密钥变更事件，直接调用AWS API写入。
  • 密钥变更特别频繁：频繁跑terraform apply会增加运维成本，也可能带来不必要的部署风险。

示例代码 #

# 配置GCP Provider
provider "google" {
  project = "your-gcp-project-id"
  region  = "us-central1"
}

# 配置AWS Provider
provider "aws" {
  region = "us-east-1"
}

# 读取GCP Secrets Manager中的最新密钥
data "google_secret_manager_secret_version" "db_password" {
  secret  = "your-gcp-db-secret"
  version = "latest"
}

# 在AWS Secrets Manager创建密钥对象
resource "aws_secretsmanager_secret" "db_password" {
  name = "aws-db-password"
}

# 将GCP的密钥值写入AWS
resource "aws_secretsmanager_secret_version" "db_password" {
  secret_id     = aws_secretsmanager_secret.db_password.id
  secret_string = data.google_secret_manager_secret_version.db_password.secret_data
}

关键注意事项 #

• 权限要配足：Terraform使用的执行账号（不管是本地的还是CI/CD里的）必须同时拥有GCP Secrets Manager的读取权限，以及AWS Secrets Manager的创建、更新权限。
• 状态文件安全：Terraform状态文件会存储读取到的密钥明文，一定要做好状态文件的加密和权限管控，比如用Terraform Cloud托管加密状态，或者本地加密存储。
• 版本同步：如果GCP侧回滚了密钥版本，需要重新执行terraform apply才能把旧版本同步到AWS，Terraform不会自动感知版本回滚。

内容的提问来源于stack exchange，提问作者TreeWater