Terraform中如何忽略数据源变更？避免密码存入状态文件

你当前的核心问题是：数据源aws_secretsmanager_secret_version会每次拉取Secret Store的最新密码，导致RDS资源的password字段被检测为需要更新，进而把新密码存入Terraform状态文件。由于Terraform数据源本身不支持ignore_changes配置，我们可以从RDS资源的生命周期配置入手解决：

方案一：给RDS资源添加ignore_changes忽略密码字段 #

直接在RDS资源的lifecycle块中忽略password字段的变更，这样即使数据源拉取到新密码，Terraform也不会尝试更新RDS的密码，更不会把新密码写入状态文件。修改后的RDS资源代码如下：

resource "aws_db_instance" "rds" {
  identifier                 = var.name
  password                   = jsondecode(data.aws_secretsmanager_secret_version.secret_version.secret_string)["password"]
  // 其他原有配置...

  lifecycle {
    ignore_changes = [password]
  }
}

这个方案最简单直接，完全切断了Terraform对RDS密码的后续管理，密码的变更将由你通过local-exec或其他外部方式维护，符合你不想让密码存入状态文件的需求。

方案二：分离初始密码与后续管理密码 #

如果不想让RDS初始创建时就依赖Secret Store的密码，可以生成一个临时初始密码用于创建RDS，之后通过local-exec替换为Secret Store中的密码，同时忽略RDS密码的变更：

// 生成临时初始密码
resource "random_password" "temp_rds_pwd" {
  length           = 16
  special          = true
  override_special = "!@#$%^&*()"
}

resource "aws_db_instance" "rds" {
  identifier                 = var.name
  password                   = random_password.temp_rds_pwd.result
  // 其他原有配置...

  lifecycle {
    ignore_changes = [password]
  }

  // 创建完成后替换为Secret Store中的密码
  provisioner "local-exec" {
    when        = create
    command     = <<EOF
aws rds modify-db-instance \
  --db-instance-identifier ${aws_db_instance.rds.identifier} \
  --master-user-password $(aws secretsmanager get-secret-value --secret-id ${aws_secretsmanager_secret.secret.id} --query SecretString --output text | jq -r '.password') \
  --apply-immediately
EOF
  }
}

这种方式下，Terraform仅负责RDS的初始创建，后续密码完全由Secret Store管理，彻底避免了密码进入Terraform状态文件的问题。

需要注意的是：一旦配置了ignore_changes = [password]，后续如果需要通过Terraform修改RDS密码，需要临时移除这个配置，修改完成后再重新添加。

内容的提问来源于stack exchange，提问作者lony