硬编码ARN正常，引用aws_db_instance变量时PostgreSQL认证失败

问题场景 #

使用cyrilgdn/postgresql v1.21.0 Provider管理AWS RDS PostgreSQL实例时，遇到以下异常：

• 硬编码RDS开启manage_master_user_password后生成的Secret ARN时，可正常认证并完成资源变更
• 通过aws_db_instance.test_db.master_user_secret[0].secret_arn动态引用Secret时，Provider错误使用默认用户terraform尝试登录（正确用户为Secret中存储的db_admin），触发认证失败

错误信息 #

│ Error: Error connecting to PostgreSQL server {rds_db_name}.{region}.rds.amazonaws.com (scheme: postgres): XXXXpXXXXq: password authentication failed for user "terraform"
│
│   with postgresql_extension.postgis,
│   on rds.tf line 135, in resource "postgresql_extension" "postgis":
│  135: resource "postgresql_extension" "postgis" {

已验证信息 #

• 通过terraform console执行nonsensitive(jsondecode(data.aws_secretsmanager_secret_version.master_user.secret_string))，确认Secret内的用户名、密码完全正确
• 尝试通过Secret名称引用也触发相同问题
• 怀疑与引导依赖问题相关，关联GitHub Issue #24476

问题根源分析 #

这是典型的Terraform资源初始化依赖顺序问题：

1. RDS实例创建完成后，AWS会异步生成并填充Secret内容，这个过程存在延迟
2. 当PostgreSQL资源（如postgresql_extension）仅依赖aws_db_instance时，Terraform会在RDS实例就绪后立即尝试连接，但此时Secret内的用户信息可能尚未同步完成
3. PostgreSQL Provider无法从未就绪的Secret中解析出正确用户，遂 fallback 到默认的terraform用户，导致认证失败

排查方向 #

• 显式声明依赖关系：确保所有PostgreSQL资源都依赖aws_secretsmanager_secret_version资源，而非仅依赖aws_db_instance，强制Terraform等待Secret内容就绪
• 验证Secret读取时机：使用data.aws_secretsmanager_secret_version读取Secret内容，而非直接引用aws_db_instance的master_user_secret属性，确保获取到完整的Secret数据
• 调整Provider版本：尝试将cyrilgdn/postgresql升级到v1.22.0+（或降级到v1.20.0），部分后续版本修复了Secret读取的逻辑问题
• 检查AWS Secret状态：在AWS控制台确认Secret的SecretString是否已包含username和password字段，排除RDS生成Secret的延迟问题

解决建议 #

最有效的修复方式是通过data.aws_secretsmanager_secret_version读取Secret内容，并显式声明依赖关系，确保PostgreSQL资源在Secret就绪后再初始化：

data "aws_secretsmanager_secret_version" "master_user" {
  secret_id = aws_db_instance.test_db.master_user_secret[0].secret_arn
  depends_on = [aws_db_instance.test_db]
}

provider "postgresql" {
  host            = aws_db_instance.test_db.endpoint
  port            = aws_db_instance.test_db.port
  username        = nonsensitive(jsondecode(data.aws_secretsmanager_secret_version.master_user.secret_string).username)
  password        = nonsensitive(jsondecode(data.aws_secretsmanager_secret_version.master_user.secret_string).password)
  sslmode         = "require"
  connect_timeout = 15
}

resource "postgresql_extension" "postgis" {
  depends_on = [data.aws_secretsmanager_secret_version.master_user]
  name      = "postgis"
  database  = aws_db_instance.test_db.name
}

内容的提问来源于stack exchange，提问作者AlexLordThorsen