Terraform通过路径获取SSM参数配置ECS任务定义报错求助

错误原因 #

你直接将aws_ssm_parameters_by_path数据源对象塞入environment数组，不符合ECS任务定义要求的环境变量格式——每个环境变量必须是包含name（变量名）和value（变量值）的对象。这种错误的结构会导致AWS返回"环境变量名称不能为空或空白"的异常。

解决方案 #

方案1：非敏感数据转为明文环境变量 #

该方案适合非敏感配置，会将SSM参数值直接写入任务定义（不建议用于密码、密钥等敏感数据）。

1. 先获取参数路径，再逐个拉取参数值：

# 获取指定路径下的所有SSM参数路径
data "aws_ssm_parameters_by_path" "superset_prod" {
  path      = "/prod/superset/"
  recursive = true
}

# 遍历参数路径，获取每个参数的具体值
data "aws_ssm_parameter" "superset_prod_params" {
  for_each = toset(data.aws_ssm_parameters_by_path.superset_prod.names)
  name     = each.value
}

2. 构造符合ECS要求的环境变量数组：

resource "aws_ecs_task_definition" "superset_task_definition" {
  # 其他任务定义配置...

  container_definitions = jsonencode([
    {
      # 其他容器配置...
      environment = [
        # 遍历参数，提取变量名（去掉路径前缀）和值
        for param_path, param in data.aws_ssm_parameter.superset_prod_params : {
          name  = replace(param_path, "/prod/superset/", "")
          value = param.value
        }
      ]
      # 其他容器配置...
    }
  ])

  # 其他任务定义配置...
}

方案2：敏感数据用Secrets注入（推荐） #

如果参数是敏感数据（如数据库密码、API密钥），推荐用ECS的secrets字段，容器启动时会从SSM参数存储安全拉取值，不会将明文写入任务定义。

1. 保留方案1中的两个数据源配置，修改容器定义的secrets字段：

resource "aws_ecs_task_definition" "superset_task_definition" {
  # 其他任务定义配置...

  container_definitions = jsonencode([
    {
      # 其他容器配置...
      # 移除environment，改用secrets
      secrets = [
        for param_path, param in data.aws_ssm_parameter.superset_prod_params : {
          name      = replace(param_path, "/prod/superset/", "")
          valueFrom = param.arn
        }
      ]
      # 其他容器配置...
    }
  ])

  # 其他任务定义配置...
}

2. 权限配置：确保ECS任务执行角色（execution_role_arn对应的IAM角色）拥有ssm:GetParameter权限，示例IAM策略：

resource "aws_iam_policy" "ecs_ssm_access" {
  name        = "ECS-SSM-Parameter-Access"
  description = "Allow ECS task execution role to fetch SSM parameters"

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Effect   = "Allow"
        Action   = "ssm:GetParameter"
        Resource = "${data.aws_ssm_parameters_by_path.superset_prod.arns}"
      }
    ]
  })
}

# 将策略附加到任务执行角色
resource "aws_iam_role_policy_attachment" "ecs_ssm_attach" {
  role       = aws_iam_role.ecs_task_execution_role.name
  policy_arn = aws_iam_policy.ecs_ssm_access.arn
}

内容的提问来源于stack exchange，提问作者Enol