如何在Terragrunt中生成providers.tf支持跨账户AWS Transit Gateway部署？

核心思路 #

Terragrunt的generate功能可自动生成Terraform配置文件，我们只需在terragrunt.hcl中定义生成规则，就能输出包含双AWS Provider别名的providers.tf文件，适配跨账户TGW附件部署场景。

具体实现步骤 #

1. 编写Terragrunt主配置文件 #

在工作目录创建或修改terragrunt.hcl，添加generate块定义providers.tf的生成逻辑：

generate "providers" {
  path      = "providers.tf"
  if_exists = "overwrite" # 可选值：overwrite/skip/error，按需选择

  contents = <<EOF
terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = ">= 2.7.0"
      configuration_aliases = [aws.src, aws.dst]
    }
  }
}

# TGW所在源账户的Provider配置
provider "aws" {
  alias  = "src"
  region = "${local.region}"
  # 凭证配置见下方说明
}

# VPC所在目标账户的Provider配置
provider "aws" {
  alias  = "dst"
  region = "${local.region}"
  # 凭证配置见下方说明
}
EOF
}

# 定义共享变量（示例：区域）
locals {
  region = "us-east-1" # 替换为你的实际AWS区域
}

# 若使用自定义Terraform模块，添加模块引用
terraform {
  source = "./path/to/your/tgw-attachment-module" # 替换为你的模块路径
}

2. 配置跨账户AWS凭证 #

跨账户凭证推荐以下三种安全传递方式：

• AWS配置文件：通过profile参数指定本地配置文件中的账户别名

  provider "aws" {
    alias  = "src"
    region = local.region
    profile = "tgw-main-account"
  }
  
  provider "aws" {
    alias  = "dst"
    region = local.region
    profile = "vpc-secondary-account"
  }
  

• IAM角色切换：基于账户间信任关系，通过assume_role获取目标账户权限

  provider "aws" {
    alias  = "dst"
    region = local.region
    assume_role {
      role_arn = "arn:aws:iam::目标账户ID:role/Terraform-Execution-Role"
    }
  }
  

• 环境变量：通过专属环境变量传递密钥（不推荐硬编码）

  provider "aws" {
    alias  = "src"
    region = local.region
    access_key = get_env("AWS_SRC_ACCESS_KEY", "")
    secret_key = get_env("AWS_SRC_SECRET_KEY", "")
  }
  

3. 执行Terragrunt命令 #

运行以下命令，Terragrunt会自动生成providers.tf并执行Terraform生命周期操作：

terragrunt plan
# 或执行部署
terragrunt apply

注意事项 #

• if_exists参数：overwrite会覆盖已存在的providers.tf，适合需要同步配置的场景；skip会保留现有文件；error会在文件存在时终止操作。
• 优先使用IAM角色或AWS配置文件传递凭证，避免硬编码密钥到配置文件中。
• 确保跨账户间已建立信任关系（如IAM角色信任策略），否则assume_role方式会失效。

内容的提问来源于stack exchange，提问作者Ken J