基于用户输入配置不同AWS安全组出站规则（Terraform）

可以通过Terraform的变量+动态块实现两种场景的自动化切换，不用再手动注释代码：

1. 定义控制变量 #

先声明一个布尔型变量，用来作为出站规则的开关：

variable "enable_full_egress" {
  type        = bool
  description = "控制出站规则：true=开放全量公网访问，false=移除所有出站规则"
  default     = true # 默认开放，可按需修改
}

2. 编写动态出站规则 #

利用dynamic块根据变量值生成对应配置，同时兼容清空规则的场景：

resource "aws_security_group" "test" {
  name        = "test-sg"
  description = "测试安全组"
  vpc_id      = var.vpc_id # 替换为你的VPC ID

  # 动态生成全量出站规则
  dynamic "egress" {
    # 变量为true时生成规则，为false时不生成
    for_each = var.enable_full_egress ? [1] : []
    content {
      from_port        = 0
      to_port          = 0
      protocol         = "-1"
      cidr_blocks      = ["0.0.0.0/0"]
      ipv6_cidr_blocks = ["::/0"]
    }
  }

  # 确保变量切换为false时，彻底清空出站规则
  lifecycle {
    ignore_changes = [egress]
  }
}

3. 场景切换方式 #

• 开放全量出站：直接执行terraform apply（用默认值true），或者显式指定：

  terraform apply -var="enable_full_egress=true"
  

• 移除所有出站规则：执行：

  terraform apply -var="enable_full_egress=false"
  

补充说明 #

如果你的安全组还有其他固定出站规则，可以调整dynamic块逻辑，只控制全量访问的那条规则，保留其他规则不受影响。

内容的提问来源于stack exchange，提问作者supanooba