Terraform配置随机密码致AWS RDS无法连接问题求助

核心问题是：通过aws_db_instance.database.password引用RDS密码时，传入Kubernetes Secret的是经过处理的24位字符串，而非random_password生成的12位原始密码，导致与RDS实际密码不匹配。

原因在于：

• Terraform对AWS资源的敏感字段（如password）会进行特殊存储处理，直接引用可能得到非原始值；
• 若使用RDS快照创建实例，password参数会被忽略，RDS会使用快照中的密码，此时aws_db_instance.database.password无法正确返回你设置的随机密码。

1. 直接引用随机密码原始值到Secret #

将Kubernetes Secret的MYSQL_PASSWORD改为直接引用random_password的结果，跳过aws_db_instance的中间引用：

resource "kubernetes_secret" "db_pass" {
  metadata {
    name = "db-pass"
  }
  data = {
    MYSQL_PASSWORD         = random_password.password.result  # 直接用随机密码原始值
    S3_ACCESS_KEY_ID       = ""
    S3_SECRET_KEY          = ""
    RABBITMQ_PASSWORD      = var.rabbitpassw
    RABBITMQ_ERLANGCOOKIE  = var.erlangcookie
  }

  depends_on = [
    aws_db_instance.database,
    module.s3_bucket
  ]
}

这样Secret中的密码和RDS实例使用的密码完全一致，避免中间环节的字段处理问题。

2. 检查快照配置（若使用） #

如果你的var.db_snapshot_id不为空（即从快照创建RDS），需注意：

• RDS会忽略password参数，使用快照中的原始密码；
• 此时你需要将Secret的MYSQL_PASSWORD设置为快照数据库的实际密码，而非random_password生成的值。

3. Grafana随机密码的同类问题修复 #

针对Grafana的随机密码问题，采用相同逻辑：直接引用生成随机密码的result字段，不要通过其他资源的敏感字段间接引用。

1. 执行terraform apply后，通过kubectl get secret db-pass -o jsonpath='{.data.MYSQL_PASSWORD}' | base64 -d查看Secret解码后的密码，确认是12位；
2. 使用该密码测试MySQL连接，验证是否正常。

内容的提问来源于stack exchange，提问作者pakk0