使用Terraform时如何防止云服务商Access Key泄露？

原方案的合理性判断 #

你提到的这个方案不是最优解——它直接在代码中硬编码access_key，会导致敏感信息泄露，完全不符合安全规范。不过该方案的核心框架（用Azure存储账户托管Terraform状态文件）是正确的，只是密钥配置方式存在严重问题。

推荐的安全配置方案 #

1. Azure CLI身份验证（推荐） #

如果已经通过az login完成Azure账号登录，且当前账号拥有目标存储账户的访问权限，Terraform会自动复用CLI的身份信息，无需配置任何密钥。后端配置简化为：

backend "azurerm" {
  resource_group_name  = "tfstate"
  storage_account_name = "<storage_account_name>"
  container_name       = "tfstate"
  key                  = "terraform.tfstate"
}

这种方式完全避免密钥暴露，是日常开发和测试场景的首选。

2. 使用环境变量传递Access Key #

不在后端配置块中写access_key，Terraform会自动读取环境变量ARM_ACCESS_KEY：

# Linux/macOS终端设置
export ARM_ACCESS_KEY="你的存储账户访问密钥"

# Windows命令行设置
set ARM_ACCESS_KEY="你的存储账户访问密钥"

后端配置同样使用上面简化后的代码即可。

3. Azure托管身份（生产环境首选） #

生产环境中建议用托管身份（Managed Identity）授权Terraform访问存储账户：

• 为运行Terraform的环境（虚拟机、CI/CD流水线等）启用系统分配或用户分配的托管身份
• 给该托管身份分配存储账户的Storage Blob Data Contributor角色
• 后端配置无需任何密钥，Terraform会自动通过托管身份获取访问权限

4. 变量文件配合版本控制忽略规则 #

如果必须用配置文件传递密钥，可创建terraform.tfvars文件：

arm_access_key = "你的存储账户访问密钥"

通过terraform init的参数传递密钥（后端配置不支持直接引用变量）：

terraform init -backend-config="arm_access_key=$(cat terraform.tfvars | grep arm_access_key | cut -d'=' -f2 | xargs)"

同时务必将terraform.tfvars加入.gitignore，防止提交到代码仓库。

总结 #

• 原方案的核心问题是硬编码密钥，绝对不能在生产环境使用
• 优先选择Azure CLI身份验证或托管身份，完全规避密钥暴露风险
• 环境变量方式适合临时测试场景
• 变量文件方式需严格做好版本控制的忽略配置

内容的提问来源于stack exchange，提问作者Nathan Rodet